近期，行業(yè)內(nèi)推出了叫做 DNS over HTTPS 的解決方案（簡(jiǎn)稱 DoH），以提升域名解析服務(wù)的安全性。不久， Network Security 研究實(shí)驗(yàn)室，就發(fā)現(xiàn)了首個(gè)利用 DoH 協(xié)議的惡意軟件，即基于 Lua 編程語(yǔ)言的 Godlua 。這個(gè)名字源于 Lua 代碼庫(kù)和七種一個(gè)樣本源碼中包含的神奇字符 God 。

Godlua可利用 DoH 來(lái)掩蓋其 DNS 流量
 

         基于 HTTPS 的域名解析服務(wù)的增長(zhǎng)勢(shì)頭一直很強(qiáng)勁，去年 10 月，互聯(lián)網(wǎng)工程任務(wù)組正式發(fā)布了 DoH（RCF 8484）。盡管并不是新鮮的概念，但首個(gè)利用 DoH 的惡意軟件，還是讓行業(yè)提前感受到了影響未來(lái)的新一輪正邪攻防戰(zhàn)。

Netlab 研究人員在報(bào)告中提到，他們發(fā)現(xiàn)了一個(gè)可疑的 ELF 文件，但最初誤以為它只是一款加密貨幣挖礦木馬。盡管尚未確認(rèn)或否認(rèn)任何加密貨幣的挖掘功能，但他們已證實(shí)其行為更像是分布式拒絕服務(wù)（DDoS）機(jī)器人。
 

截圖來(lái)自 via TechSpot

        研究人員觀察到，該文件會(huì)在被感染系統(tǒng)上作為“基于 Lua 的后門”來(lái)運(yùn)行，且注意到至少有一次針對(duì) liuxiaobei.com 的 DDoS 攻擊。截至目前，Netlab 已經(jīng)發(fā)現(xiàn)了至少兩個(gè)未利用傳統(tǒng) DNS 的變種。

借助 DNS over HTTPS，惡意軟件可通過(guò)加密的 HTTPS 連接來(lái)隱藏其 DNS 流量，使得 Godlua 能夠躲過(guò) DNS 監(jiān)控，這已經(jīng)足夠讓網(wǎng)絡(luò)安全專家感到震驚。

          據(jù)悉，谷歌和 Mozilla 都已經(jīng)提供了對(duì) DoH 的支持，前者甚至將 DoH 作為其公共 DNS 服務(wù)的一部分。此外，Cloudflare 等互聯(lián)網(wǎng)基礎(chǔ)設(shè)施服務(wù)提供商，也提供了對(duì) DoH 的支持。