DNS tunneling
Tecnica per far passare dati o traffico C2 attraverso query DNS, codificando le informazioni nei nomi di sottodominio e nelle risposte. Sfrutta il fatto che il DNS viene quasi sempre lasciato passare dai firewall, anche nelle reti più blindate.
Meccanismo: l'attaccante controlla un server DNS autoritativo per un dominio. La macchina compromessa codifica i dati (file esfiltrati, comandi C2) nelle query — ad esempio [dati-codificati-base32].attacker.com — e il server risponde con dati codificati nei record TXT o in altri. Poiché il DNS raramente viene bloccato o ispezionato (tutto richiede la risoluzione dei nomi), diventa un canale occulto affidabile anche dove ogni altro traffico in uscita è vietato. Svantaggio per l'attaccante: è lento (pochi dati per query) e rumoroso se si esfiltra molto, perciò si usa di solito per C2 o piccole quantità, non per grandi furti di dati. Difesa: monitorare volumi di query DNS anomali, sottodomini insolitamente lunghi o casuali e query verso domini registrati da poco; ispezione e logging del DNS. Un modo classico per aggirare la segmentazione di rete. Collegato a esfiltrazione dei dati e command-and-control.