DNS-туннелирование
Приём, при котором данные или трафик C2 проводят в DNS-запросах, кодируя информацию в именах поддоменов и ответах. Он использует тот факт, что DNS почти всегда пропускают через фаерволы, даже в самых закрытых сетях.
Принцип: атакующий управляет авторитативным DNS-сервером домена. Скомпрометированная машина кодирует данные (выкачиваемые файлы, команды C2) в запросах — например, [данные-в-base32].attacker.com — а сервер отвечает данными в TXT и других записях. Поскольку DNS редко блокируют или инспектируют (разрешение имён нужно всем), получается надёжный скрытый канал даже там, где закрыт весь прочий исходящий трафик. Минус для атакующего: медленно (за запрос уходит мало данных) и заметно при большом объёме — поэтому чаще используется для C2 и небольших объёмов, а не для крупных утечек. Защита: мониторинг аномально большого числа DNS-запросов, необычно длинных или случайных поддоменов и запросов к недавно зарегистрированным доменам; инспекция и логирование DNS. Классический способ обойти сегментацию сети.