DNS トンネリング.

DNS トンネリングは、DNS トラフィック(UDP/TCP 53 番ポート)がほぼあらゆる環境で許可され、深い検査がされにくいことを悪用します。マルウェアはペイロードのバイト列をサブドメインラベルにエンコードし(例:attacker.example.com 配下の base32 チャンク)、攻撃者の権威サーバが TXT、CNAME、NULL、A レコードで応答やコマンドを返します。名前解決は再帰的に行われるため、ホストが内部リゾルバにしか到達できず、攻撃者の IP に直接触れない場合でもデータは外部へ流出します。dnscat2、Iodine、Cobalt Strike の DNS C2 などがこのパターンを実装しています。スループットは低いものの隠密性は高めです。

実際の攻撃活動もこれに依存しています。2020 年の SolarWinds Orion における SUNBURST バックドアは、ドメイン生成アルゴリズムで avsvmcloud.com のサブドメインを構築し、被害者内部の Active Directory ドメインとインストール済みセキュリティ製品の一覧をそれらの DNS クエリに符号化して、双方向の C2 チャネルとして利用しました。イランと関係する OilRig/APT34 および DNSpionage の作戦も、同様に DNS トンネリングをタスク配信と持ち出しに用いました。

検知は、攻撃者が隠しにくいシグナルに依存します:ホスト当たりの高いクエリ数、異常に長いラベル、サブドメインの高いエントロピー(base32/base64/hex 文字列)、TXT や NULL といった非典型的なレコードタイプ、そしてこれまで観測されたことのないドメインです。対策には、すべてのクライアントを管理されたリゾルバ経由に強制すること、出口ファイアウォールで直接の外向き 53 番ポートを遮断すること、DNS シンクホール、クエリのレート制限、EDR/NDR における異常分析が含まれます。

flowchart LR
  M[Infected host] -->|"data.b32label.attacker.com"| R[Internal resolver]
  R -->|recursive lookup| AUTH[Attacker authoritative NS]
  AUTH -->|"TXT/CNAME reply = command"| R
  R --> M
  AUTH -.reassembles.-> D[(Stolen data and C2)]