Škodliví operátoři často umisťují rotující kompromitované hostitele před skrytou službu, ale pozorovatelným vzorem je dynamické mapování; samo o sobě není verdiktem o doméně.
Uspořádání single-flux rotují záznamy adres Domain Name System (DNS), často s krátkými hodnotami time-to-live (TTL). Double-flux mění navíc mapování jmenných serverů. Rotující systémy mohou proxyovat provoz ke skrytému backendu používanému pro command and control, phishing, doručování malwaru nebo podvod.
Klíčové body
ArchitekturaRozlišujte doménová jména, autoritativní jmenné servery, rotující front-end adresy, proxy role, backendové služby a řídicí mechanismus, místo předpokladu, že každá vrácená adresa hostuje finální obsah.
DůkazyKorelujte historii DNS, diverzitu adres a sítí, TTL, změny jmenných serverů, data hostingu a certifikátů, obsah, komunikace koncových zařízení a aktivitu command-and-control.
ReakceAplikujte přiměřené kontroly, zachovejte časově citlivá mapování, sdílejte důkazy s relevantními poskytovateli a autoritami, remedujte kompromitované hostitele a vyšetřete koncová zařízení, které infrastrukturu kontaktovaly.
Důležité omezeníKrátká TTL, mnoho adres, rychlé změny a globálně distribuovaný hosting se vyskytují také v legitimním doručování obsahu, failoveru, cloudovém škálování a Dynamic DNS. Indikátory fast-flux vyžadují kontext chování a vlastnictví a nedokazují malware, botnet či zločinecké řízení.