AMAZONAS – Módulo de scoring e monitoramento de domínios recém registrados

Abstract

O Sistema de Nomes de Domínio (DNS), embora fundamental para a usabilidade da Internet, é frequentemente explorado como um vetor para atividades maliciosas, como phishing, typosquatting e a operação de Algoritmos de Geração de Domínio (DGA). A crescente sofisticação dessas ameaças demanda novas soluções para a identificação de domínios perigosos. Este trabalho propõe e detalha o desenvolvimento do AMAZONAS, um módulo de segurança projetado para classificar e monitorar domínios potencialmente maliciosos. A metodologia é estruturada em duas fases distintas: a Fase I utiliza um conjunto de classificadores modulares baseados em Inteligência Artificial para realizar uma análise inicial e atribuir um score de risco aos domínios, focando em características léxicas, de typosquatting e DGA. Domínios considerados suspeitos são encaminhados para a Fase II, que implementa um sistema de monitoramento contínuo através de coletores de dados web, DNS ativo e DNS passivo, a fim de acumular evidências para uma análise humana final. O presente estudo resultou na validação de três classificadores baseados em Deep Learning, dois focados em domínios maliciosos específicos e outro de caráter geral. Nos três modelos, a acurácia ficou acima de 80%, reforçando o potencial de aplicação em cenários reais de monitoramento. Além disso, os coletores demonstraram capacidade de agregar dados acionáveis de domínio e, de forma complementar, a geração automática de prompts para LLM mostrou-se útil como apoio à análise humana na Fase II, sem substituir a decisão final do analista. Testes finais realizados com cerca de 20 mil domínios concluíram a capacidade do AMAZONAS em detectar e separar domínios em 3 categorias diferentes. Por fim, com a ajuda de LLMs, foi possível certificar que domínios benignos e maliciosos em suas devidas listas.

The Domain Name System (DNS), while fundamental to the usability of the Internet, is often exploited as a vector for malicious activities, such as phishing, typosquatting, and the operation of Domain Generation Algorithms (DGA). The growing sophistication of these threats demands new solutions for identifying dangerous domains. This work proposes and details the development of AMAZONAS, a security module designed to classify and monitor potentially malicious domains. The methodology is structured in two distinct phases: Phase I uses a set of modular classifiers based on Artificial Intelligence to perform an initial analysis and assign a risk score to domains, focusing on lexical, typosquatting, and DGA characteristics. Domains deemed suspicious are forwarded to Phase II, which implements a continuous monitoring system through web, active DNS, and passive DNS data collectors, in order to gather evidence for a final human analysis. This study resulted in the validation of three Deep Learning-based classifiers, two focused on specific malicious domain patterns and one with a broader scope. Across all three models, accuracy remained above 80%, reinforcing the potential for real-world deployment. Furthermore, the collectors demonstrated the ability to acquire actionable domain intelligence and, as a complementary step, automatic LLM \textit{prompt} generation proved useful to support human analysis in Phase II while preserving analyst final decision-making. Final tests conducted with approximately 20,000 domains confirmed AMAZONAS ability to detect and separate domains into three different categories. Finally, with the support of LLMs, it was possible to corroborate that benign and malicious domains were assigned to their appropriate lists.