Túneles DNS y exfiltración

El túnel DNS codifica datos arbitrarios dentro de consultas y respuestas DNS, convirtiendo el sistema de nombres en un canal de comunicación encubierto. Como casi todas las redes permiten que el DNS salga del perímetro, es una vía muy utilizada para la exfiltración de datos y el comando y control (C2).

Si su firewall bloquea todo excepto las respuestas del resolutor, los atacantes pueden establecer un canal bidireccional completo a través del DNS.

El atacante controla el servidor de nombres autoritativo de un dominio, por ejemplo, tunnel.evil.com. El implante codifica los datos salientes en el subdominio (la etiqueta situada más a la izquierda) de las consultas:

• Los datos salen como <base32-chunk>.tunnel.evil.com.
• El servidor autoritativo devuelve instrucciones dentro de registros TXT, CNAME o NULL.

Cada par de consulta y respuesta transporta un pequeño fragmento de carga útil.

Las etiquetas DNS no distinguen entre mayúsculas y minúsculas y tienen una longitud limitada, por lo que los datos binarios suelen codificarse con Base32 (Base64 mezcla mayúsculas y minúsculas y utiliza caracteres no seguros). Debe respetar estas restricciones:

• Cada etiqueta puede tener hasta 63 caracteres.
• El nombre completo puede tener hasta 255 caracteres.
• Por tanto, cada consulta transporta como máximo unos pocos cientos de bytes.

Este bajo rendimiento hace que la exfiltración mediante DNS sea lenta y genere mucho tráfico, lo que también facilita su detección.

Los distintos tipos de registros maximizan la capacidad de datos descendentes:

• TXT — cargas útiles de texto libre de gran tamaño, el recurso principal para las respuestas de C2.
• NULL — bytes sin procesar, utilizados por herramientas antiguas como iodine.
• CNAME / MX — capacidad moderada, se confunden con el tráfico legítimo.
• A / AAAA — baja capacidad, pero son muy comunes y discretos.

Estas son algunas utilidades conocidas para crear túneles que debe saber reconocer al analizar detecciones:

• iodine — túnel IP sobre DNS que utiliza registros NULL/TXT.
• dnscat2 — canal C2 cifrado sobre DNS.
• DNSExfiltrator — exfiltración de archivos por etapas.
• Beacon DNS de Cobalt Strike — habitual en equipos de red team y en intrusiones reales.

Estas herramientas presentan patrones de consulta y firmas de entropía reconocibles.

Los atacantes ajustan el túnel: un perfil bajo y lento envía pocas consultas por minuto para eludir los umbrales de volumen, y resulta adecuado para exfiltrar discretamente secretos pequeños, como credenciales o claves.

Un perfil de alto rendimiento maximiza el número de consultas para el C2 interactivo o las transferencias masivas, a costa de perder sigilo a cambio de velocidad. La lógica de detección debe detectar ambos extremos.

Los subdominios codificados parecen cadenas aleatorias, por lo que tienen una entropía alta en comparación con los nombres de dominio naturales. Calcular la entropía de Shannon por etiqueta es una heurística eficaz.

Los nombres legítimos tienden a ser pronunciables y a tener una entropía baja; xj4k9d2mq7zp1.tunnel.evil.com destaca claramente. Marque los dominios cuya entropía del subdominio supere un umbral ajustado.

Otros indicadores de comportamiento:

• Recuento de consultas alto e inusual a un único dominio desde un mismo host.
• Nombres de consulta largos, próximos al límite de 255 bytes.
• Uso desproporcionado de registros TXT o NULL.
• Muchos subdominios únicos bajo un mismo dominio principal (cardinalidad alta).
• Consultas a un dominio reciente o de baja reputación.

Los endpoints nunca deben comunicarse directamente por DNS con Internet. Obligue a todos los clientes a utilizar resolutores internos y bloquee el puerto 53 saliente, tanto UDP como TCP, en el firewall.

Esto concentra el DNS en un punto de control donde puede registrarlo, inspeccionarlo y aplicar inteligencia de amenazas. También inutiliza los implantes que tienen resolutores externos codificados, como 8.8.8.8.

Combine controles para impedir los túneles:

• Centralice la resolución y bloquee directamente el puerto 53 externo.
• Implemente un firewall DNS / RPZ con fuentes de reputación.
• Genere alertas por entropía, longitud de consulta, tasa de NXDOMAIN y cardinalidad por dominio.
• Limite la tasa y el tamaño de las consultas cuando sea posible.
• Busque DoH dirigido a endpoints desconocidos, que oculta el túnel dentro de HTTPS.

DNS sobre HTTPS encapsula las consultas en TLS mediante 443, por lo que la monitorización tradicional del puerto 53 no ve nada. Un implante que utiliza DoH para comunicarse con un endpoint malicioso puede tunelizar datos de forma invisible para el registro pasivo de DNS.

Mitíguelo fijando los endpoints a un resolutor DoH aprobado, bloqueando las IP y los nombres de host públicos de DoH conocidos en los dispositivos administrados e inspeccionando el SNI de TLS y la reputación del destino.

Los túneles DNS abusan de los subdominios de las consultas y de los registros de respuesta (TXT, NULL, CNAME) para crear un canal encubierto de exfiltración y C2. El rendimiento es bajo, por lo que resulta lento pero sigiloso. Herramientas como iodine y dnscat2 dejan patrones reconocibles.

Detecte estos túneles mediante análisis de entropía, longitud, volumen y cardinalidad de las consultas; prevéngalos con resolutores centralizados, filtrado de salida, firewalls DNS/RPZ y control sobre DoH. A continuación: cómo DNSSEC y el filtrado protegen el sistema de nombres en su conjunto.