Tunelamento de DNS
Uma técnica para contrabandear dados ou tráfego de C2 através de consultas DNS — codificando a informação em nomes de subdomínio e respostas. Explora o fato de que o DNS quase sempre passa pelos firewalls, mesmo em redes bem trancadas.
Mecânica: o atacante controla um servidor DNS autoritativo para um domínio. A máquina comprometida codifica dados (arquivos exfiltrados, comandos de C2) em consultas DNS — por exemplo [dados-em-base32].atacante.com — e o servidor responde com dados codificados em registros TXT/outros. Como o DNS raramente é bloqueado ou inspecionado (tudo precisa de resolução de nomes), ele se torna um canal oculto confiável mesmo onde todo o resto do tráfego de saída está barrado. Desvantagem para o atacante: lento (pouca quantidade de dados por consulta) e ruidoso se exfiltrar muito → costuma ser usado para C2/pequenos volumes, não para grandes vazamentos de dados. Defesa: monitorar volumes anormalmente altos de consultas DNS, subdomínios longos/aleatórios fora do comum, e consultas a domínios recém-registrados; inspeção e registro de DNS. Uma forma clássica de contornar a segmentação de rede. Relacionado a exfiltração de dados e command-and-control.