Tunelamento DNS.

Canal encoberto que codifica dados arbitrarios em consultas e respostas DNS na UDP/TCP 53, frequentemente usado para comando e controle e exfiltracao de dados. Pertence à categoria Segurança de rede da cibersegurança.

Canal encoberto que codifica dados arbitrarios em consultas e respostas DNS na UDP/TCP 53, frequentemente usado para comando e controle e exfiltracao de dados.

O tunelamento DNS abusa do fato de que o trafego DNS (UDP/TCP porta 53) e quase sempre permitido e raramente inspecionado em profundidade. O malware codifica bytes do payload em labels de subdominio (por exemplo, blocos base32 sob attacker.example.com) e o servidor autoritativo do atacante responde com registros TXT, CNAME ou NULL contendo a resposta ou os comandos. Ferramentas como dnscat2, Iodine ou o C2 DNS do Cobalt Strike usam esse padrao. A largura de banda e baixa, mas o canal e furtivo. A deteccao se apoia em alta taxa de consultas por host, labels muito longos, alta entropia de subdominios, padroes base64/hex, tipos de registro atipicos e feeds de threat intel. As defesas incluem proxy DNS, sinkholing, limites de taxa, analitica de anomalias em EDR/NDR e bloqueio de resolvers desconhecidos no firewall de saida.

As defesas contra Tunelamento DNS costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: DNS C2, Exfiltracao via DNS.