Tunelowanie DNS i eksfiltracja

Tunelowanie DNS koduje dowolne dane w zapytaniach i odpowiedziach DNS, zamieniając system nazw w ukryty kanał komunikacyjny. Ponieważ niemal każda sieć pozwala ruchowi DNS opuszczać jej granice, jest to ulubiona droga eksfiltracji danych oraz komunikacji command-and-control (C2).

Jeśli zapora blokuje wszystko poza resolverem, który nadal odpowiada, atakujący mogą przekierować przez DNS pełny dwukierunkowy kanał.

Atakujący kontroluje autorytatywny serwer nazw dla domeny, na przykład tunnel.evil.com. Implant koduje dane wychodzące w subdomenie (etykiecie po lewej stronie) zapytań:

• Dane są wysyłane jako <base32-chunk>.tunnel.evil.com.
• Autorytatywny serwer zwraca instrukcje w rekordach TXT, CNAME lub NULL.

Każda para zapytanie–odpowiedź przenosi niewielką porcję danych.

Etykiety DNS nie rozróżniają wielkości liter i mają ograniczoną długość, dlatego dane binarne zwykle koduje się za pomocą Base32 (Base64 rozróżnia wielkość liter i używa niebezpiecznych znaków). Należy uwzględnić następujące ograniczenia:

• Każda etykieta może mieć do 63 znaków.
• Cała nazwa może mieć do 255 znaków.
• Dlatego jedno zapytanie przenosi najwyżej kilkaset bajtów.

Niska przepustowość sprawia, że eksfiltracja przez DNS jest powolna i generuje dużo ruchu, dzięki czemu można ją wykryć.

Różne typy rekordów maksymalizują przepustowość w kierunku do klienta:

• TXT — duże ładunki dowolnego tekstu, podstawowy mechanizm odpowiedzi C2.
• NULL — surowe bajty, używane przez starsze narzędzia, takie jak iodine.
• CNAME / MX — umiarkowana przepustowość, łatwo wtapiają się w prawidłowy ruch.
• A / AAAA — niska przepustowość, ale są bardzo powszechne i nie wzbudzają podejrzeń.

Wykrywane narzędzia do tunelowania, które należy rozpoznawać:

• iodine — tunel IP przez DNS wykorzystujący rekordy NULL/TXT.
• dnscat2 — szyfrowany kanał C2 przez DNS.
• DNSExfiltrator — etapowa eksfiltracja plików.
• Beacon DNS Cobalt Strike — często spotykany w działaniach zespołów red team i rzeczywistych włamaniach.

Narzędzia te mają rozpoznawalne wzorce zapytań i sygnatury entropii.

Atakujący dostosowują tunel: profil low-and-slow wysyła niewiele zapytań na minutę, aby ominąć progi objętościowe, i nadaje się do dyskretnej eksfiltracji niewielkich sekretów, takich jak dane uwierzytelniające lub klucze.

Profil o wysokiej przepustowości maksymalizuje liczbę zapytań na potrzeby interaktywnego C2 lub transferu zbiorczego, poświęcając dyskrecję na rzecz szybkości. Mechanizmy detekcji muszą wykrywać oba skrajne warianty.

Kodowane subdomeny wyglądają jak losowe ciągi, dlatego mają wysoką entropię w porównaniu z naturalnymi nazwami domen. Obliczanie entropii Shannona dla każdej etykiety jest skuteczną heurystyką.

Prawidłowe nazwy zwykle są łatwe do wymówienia i mają niską entropię; xj4k9d2mq7zp1.tunnel.evil.com wyraźnie się wyróżnia. Należy oznaczać domeny, których entropia subdomen przekracza ustalony próg.

Inne wskaźniki behawioralne:

• Nietypowo duża liczba zapytań do jednej domeny z jednego hosta.
• Długie nazwy zapytań zbliżające się do limitu 255 bajtów.
• Nieproporcjonalnie częste użycie rekordów TXT lub NULL.
• Wiele unikatowych subdomen w ramach jednej domeny nadrzędnej (wysoka kardynalność).
• Zapytania do świeżo utworzonej domeny o niskiej reputacji.

Punkty końcowe nie powinny nigdy łączyć się bezpośrednio z internetem za pomocą DNS. Należy wymusić kierowanie wszystkich klientów przez wewnętrzne resolvery oraz zablokować wychodzący UDP/TCP 53 na zaporze.

Skupia to ruch DNS w kontrolowanym punkcie, w którym można go rejestrować, analizować i stosować dane wywiadu zagrożeń. Unieruchamia to również implanty, które mają na stałe wpisane zewnętrzne resolvery, takie jak 8.8.8.8.

Należy połączyć mechanizmy kontroli, aby zablokować tunelowanie:

• Scentralizować rozwiązywanie nazw i zablokować bezpośredni dostęp do zewnętrznego portu 53.
• Wdrożyć zaporę DNS / RPZ z kanałami reputacyjnymi.
• Generować alerty na podstawie entropii, długości zapytań, współczynnika NXDOMAIN i kardynalności dla poszczególnych domen.
• Ograniczać częstotliwość zapytań i ich rozmiar, gdy jest to możliwe.
• Monitorować DoH kierowane do nieznanych punktów końcowych, ponieważ ukrywa ono tunelowanie w HTTPS.

DNS przez HTTPS opakowuje zapytania w TLS na porcie 443, więc tradycyjne monitorowanie portu 53 niczego nie wykrywa. Implant korzystający z DoH do komunikacji z nieautoryzowanym punktem końcowym może niewidocznie tunelować dane, omijając pasywne rejestrowanie DNS.

Ograniczają to następujące działania: przypisanie punktów końcowych do zatwierdzonego resolvera DoH, blokowanie znanych publicznych adresów IP i nazw hostów DoH na zarządzanych urządzeniach oraz analiza SNI TLS i reputacji miejsca docelowego.

Proszę sprawdzić swoje umiejętności wykrywania zagrożeń.

Tunelowanie DNS wykorzystuje subdomeny zapytań i rekordy odpowiedzi (TXT, NULL, CNAME) do utworzenia ukrytego kanału eksfiltracji i C2. Przepustowość jest niska, co sprawia, że tunelowanie jest powolne, ale dyskretne. Narzędzia takie jak iodine i dnscat2 pozostawiają rozpoznawalne wzorce.

Wykrywaj je za pomocą analizy entropii, długości, liczby i kardynalności zapytań; zapobiegaj im dzięki scentralizowanym resolverom, filtrowaniu ruchu wychodzącego, zaporom DNS/RPZ oraz kontroli nad DoH. Następnie: jak DNSSEC i filtrowanie chronią cały system nazw.