در برخی موارد، مهاجمان از پسوندهای دامنه‌ی غیرمعمول و خاص برای زیرساخت‌های خود استفاده می‌کنند. بیایید به یک نمونه‌ی اخیر که مربوط به بدافزار Rhadamanthys است نگاهی بیندازیم. بیشتر دامنه‌ها دارای پسوندهایی هستند که بسیار مشکوک به نظر می‌رسند، مانند:

cloud341[.]autos
cloud341[.]baby
cloud341[.]icu
cloud341[.]lol
cloud341[.]monster
cloud34221[.]hair
cloud34221[.]homes
cloud34221[.]quest
cloud343[.]boats
cloud9342[.]beauty

ارزشش را دارد که برای این مورد یک کوئری هانتر بنویسیم، نه؟

event_type: "dnsreqwin"

AND

dns_rname: (*.autos OR *.baby OR *.icu OR *.lol OR *.monster OR *.hair OR *.homes OR *.quest OR *.boats OR *.beauty)

@TryHackBox