近期，行業(yè)內(nèi)推出了叫做 DNS over HTTPS 的解決方案（簡稱 DoH），以提升域名解析服務(wù)的安全性。不久， Network Security 研究實驗室，就發(fā)現(xiàn)了首個利用 DoH 協(xié)議的惡意軟件，即基于 Lua 編程語言的 Godlua 。這個名字源于 Lua 代碼庫和七種一個樣本源碼中包含的神奇字符 God 。

Godlua可利用 DoH 來掩蓋其 DNS 流量
 

         基于 HTTPS 的域名解析服務(wù)的增長勢頭一直很強(qiáng)勁，去年 10 月，互聯(lián)網(wǎng)工程任務(wù)組正式發(fā)布了 DoH（RCF 8484）。盡管并不是新鮮的概念，但首個利用 DoH 的惡意軟件，還是讓行業(yè)提前感受到了影響未來的新一輪正邪攻防戰(zhàn)。

Netlab 研究人員在報告中提到，他們發(fā)現(xiàn)了一個可疑的 ELF 文件，但最初誤以為它只是一款加密貨幣挖礦木馬。盡管尚未確認(rèn)或否認(rèn)任何加密貨幣的挖掘功能，但他們已證實其行為更像是分布式拒絕服務(wù)（DDoS）機(jī)器人。
 

截圖來自 via TechSpot

        研究人員觀察到，該文件會在被感染系統(tǒng)上作為“基于 Lua 的后門”來運(yùn)行，且注意到至少有一次針對 liuxiaobei.com 的 DDoS 攻擊。截至目前，Netlab 已經(jīng)發(fā)現(xiàn)了至少兩個未利用傳統(tǒng) DNS 的變種。

借助 DNS over HTTPS，惡意軟件可通過加密的 HTTPS 連接來隱藏其 DNS 流量，使得 Godlua 能夠躲過 DNS 監(jiān)控，這已經(jīng)足夠讓網(wǎng)絡(luò)安全專家感到震驚。

          據(jù)悉，谷歌和 Mozilla 都已經(jīng)提供了對 DoH 的支持，前者甚至將 DoH 作為其公共 DNS 服務(wù)的一部分。此外，Cloudflare 等互聯(lián)網(wǎng)基礎(chǔ)設(shè)施服務(wù)提供商，也提供了對 DoH 的支持。