DEF CON 33 - BiC Village - Following Threat Actors Rhythm to Give Them More Blues - Malachi Walker

Malachi Walker 從 Domain Tools 開場介紹了一場高度互動的 DNS 威脅狩獵工作坊。他設計了一場「DNS 寻宝游戏」，參與者使用命令行終端（Mac 的 dig、Windows 的 nslookup）從起始域名 clue.mmyailythreat.com 開始查詢 DNS 記錄。遊戲分為多個步驟，逐步引導參與者追蹤隱藏的線索。

首步涉及查詢 TXT 記錄，發現謎語「電子郵件全部加粗，加而不是減」。這暗示需要在 clue.mmyailythreat.com 中添加「email」標籤。查詢 MX 記錄後得到一個編碼的長字符串，需要使用 CyberChef、IPvoid 或 LLM 工具解碼。講者特別提醒參與者不要直接將謎語輸入 LLM（會秒速破解），而應依靠邏輯推理。解碼後發現下一個目標是 shadow.mmyailythreat.net——注意域名從 .com 轉變為 .net，這是重要的基礎設施簽名。

隨著遊戲推進，CNAME 記錄指向 next.clue.threatblockchain.com，TXT 記錄包含以純文本嵌入的 DKIM 消息。後續步驟涉及解碼謎語（需理解「Defcon」與「黑暗的切線」等會議相關的文化線索）以得到 DKIM 記錄 uh_domainkey.threatblockchain.com。進一步查詢發現 target.assume-breach.com，TXT 記錄指向一個 GitHub 儲存庫。最終步驟涉及下載 GitHub 上的 zip 檔案並解碼 Base64 編碼的字符串，答案涉及一首歌曲名稱。

講者穿插遊戲進程，闡述威脅狩獵的核心原理。DNS 之所以關鍵，是因為威脅行為者必須先建立網絡基礎設施——註冊域名、配置 DNS 記錄、選擇託管服務商——才能發動釣魚、指揮控制等攻擊。分析 DNS 記錄可以發現高風險屬性的融合，例如多個域名共享相同的頂級 ISP 或域名服務器、或者域名在不同後綴間切換。Domain Tools 的 3D 散點圖視覺化工具展示了這些多維度的基礎設施關聯。

講者強調，威脅行為者經常重複利用基礎設施以降低成本和複雜度。新手可能粗心使用真實身份，而老練的攻擊者也會跨多個活動重複使用基礎設施。這意味著識別一個惡意域名往往能揭露整個基礎設施網絡。防守方的優勢在於只需做對一次，而攻擊者每次都必須完美隱蔽。若安全團隊掌握威脅狩獵思維，在攻擊周期早期（偵察與基礎設施部署階段）識別威脅，就能阻止後續所有環節。

在 Q&A 中，講者回應了資源受限團隊的痛點。他指出，缺乏專業工具的團隊可利用免費 LLM（ChatGPT、Claude、Gemini）與在線工具進行 DNS 分析。關鍵是建立財務論證——使用 FAIR 模型將網絡安全效益貨幣化，向決策者展示「投資 DNS 威脅狩獵將帶來 10 倍回報」。講者舉例，通過展示發現特定釣魚域名、追蹤其郵件伺服器（MX 記錄）進而識別整個基礎設施網絡的成功案例，可論證 DNS 分析的價值。他最後強調，網絡安全不是成本中心，而是收入增長的驅動因素——高效威脅狩獵節省事件響應時間，解放團隊投入更多精力於品牌建設、學術貢獻與人才發展。