DNS Exfil

A exfiltração DNS é uma técnica sofisticada usada por atacantes para roubar dados de redes comprometidas codificando informações dentro de consultas DNS. Como o tráfego DNS é essencial para o funcionamento normal da rede e raramente é bloqueado por firewalls, ele fornece um canal oculto ideal para exfiltração de dados. Entender a exfiltração DNS é crítico para profissionais de segurança de rede, respondedores de incidentes e caçadores de ameaças que precisam detectar e prevenir esses ataques furtivos.

Como funciona a exfiltração DNS

Em um ataque de exfiltração DNS, o atacante codifica dados roubados (credenciais, arquivos, conteúdos de banco de dados) na parte de subdomínio das consultas DNS. Por exemplo, os dados codificados "aGVsbG8=" podem ser enviados como uma consulta para aGVsbG8.attacker-domain.com. O servidor DNS autoritativo do atacante recebe essas consultas e extrai os dados codificados dos rótulos de subdomínio. Como cada rótulo DNS pode conter até 63 caracteres e um nome de domínio completo pode ter 253 caracteres, quantidades significativas de dados podem ser exfiltradas dividindo-os em várias consultas.

Detecção e análise

Detectar exfiltração DNS requer a análise de padrões de tráfego DNS em busca de anomalias. Indicadores-chave incluem nomes de subdomínio incomumente longos, volumes elevados de consultas a um único domínio, consultas contendo strings codificadas em Base64 ou hexadecimal, e domínios com rótulos de subdomínio de alta entropia. Analistas de rede utilizam ferramentas de captura de pacotes como Wireshark e tcpdump junto com ferramentas de análise específicas de DNS para examinar padrões de consulta. Arquivos PCAP contendo tráfego DNS fornecem um registro forense que analistas podem investigar após uma violação suspeita.

Cenário de ameaças reais

A exfiltração DNS é usada por grupos de ameaças persistentes avançadas (APT), operadores de ransomware e ameaças internas. Famílias de malware notáveis como DNSMessenger, FrameworkPOS e vários kits de ferramentas APT incorporaram tunneling DNS para comunicação de comando e controle e roubo de dados. Organizações se defendem contra a exfiltração DNS implementando monitoramento DNS, restringindo resolvedores DNS, usando extensões de segurança DNS (DNSSEC), e implantando firewalls DNS que analisam o conteúdo das consultas para identificar padrões suspeitos.