Tunelización DNS.

Canal encubierto que codifica datos arbitrarios dentro de consultas y respuestas DNS en UDP/TCP 53, muy utilizado para C2 y exfiltración de datos. Pertenece a la categoría de Seguridad de red en ciberseguridad.

Canal encubierto que codifica datos arbitrarios dentro de consultas y respuestas DNS en UDP/TCP 53, muy utilizado para C2 y exfiltración de datos.

La tunelización DNS abusa de que el tráfico DNS (UDP/TCP puerto 53) suele estar permitido en todas partes y rara vez se inspecciona en profundidad. El malware codifica bytes de su carga útil en etiquetas de subdominio (por ejemplo, trozos en base32 bajo attacker.example.com) y el servidor autoritativo del atacante responde con registros TXT, CNAME o NULL que contienen la respuesta o los comandos. Herramientas como dnscat2, Iodine o el C2 DNS de Cobalt Strike usan este patrón. El ancho de banda es bajo pero discreto. La detección se apoya en tasas elevadas de consultas por host, etiquetas inusualmente largas, alta entropía de subdominios, patrones base64/hex, tipos de registro atípicos y feeds de threat intel. Las defensas incluyen DNS proxying, sinkhole, límites de tasa, analítica de anomalías en EDR/NDR y bloqueo de resolvers DNS desconocidos en el firewall de salida.

Las defensas contra Tunelización DNS combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: DNS C2, Exfiltración por DNS.