DNS — el registro de todo lo intentado

Antes de hablar con un servidor, un equipo casi siempre pregunta por su nombre. Esa pregunta queda registrada aunque la conexión posterior falle o la bloquee un cortafuegos. Por eso el registro DNS es la mejor lista de intenciones que tiene un analista: no dice solo con quién se habló, sino qué se intentó buscar. Un equipo comprometido delata a menudo su primer movimiento en una consulta DNS, mucho antes de mover un solo dato.

Reconocer esto cambia dónde miras primero cuando sospechas de un equipo: al registro de nombres que pidió.

Los dominios legítimos de una empresa se parecen entre sí y a servicios conocidos: son pronunciables, cortos, repetidos. Un nombre generado por una máquina para no repetirse —largo, con letras y números al azar, alta entropía— destaca en cuanto ordenas la lista de nombres consultados. En la captura de Ventura aparece uno así, consultado por un solo equipo de la planta, que no se parece a nada del resto.

No hace falta saber qué hay detrás para marcarlo: que no encaje con el patrón de todos los demás nombres ya es motivo para aislarlo.

Aislar el nombre anómalo es la mitad; la otra mitad es atarlo a un equipo concreto y a la dirección a la que resolvió. El registro DNS te da las tres cosas: qué nombre se pidió, qué equipo lo pidió y a qué dirección respondió el servidor. Esa dirección será importante después, porque el canal de mando del módulo 3 va justo a ella —el mismo equipo, la misma dirección.

Atar nombre, equipo y dirección es lo que convierte «hay un dominio raro» en «este equipo de la planta consultó este dominio raro», que ya es un hallazgo.

En el laboratorio no solo lees una captura ya tomada: en la red montada en la nube tú mismo lanzas la consulta del nombre anómalo desde un equipo cliente y la capturas desde el sensor mientras ocurre. Ver la misma resolución pasar en vivo —el cliente pregunta, el resolutor responde con la dirección plantada— fija la idea de que el registro DNS no es teoría: es lo que de verdad viaja por el cable cuando un equipo busca un nombre.

Esto es reconocer y reproducir un comportamiento, no atacar nada: la consulta es una pregunta de nombre corriente, solo que hacia un destino que no encaja.

No todas las consultas DNS piden lo mismo. El tipo de registro dice qué se está preguntando: el más común asocia un nombre con una dirección IPv4, pero los hay para los servidores de correo de un dominio, para texto libre o para otros usos. Cuando el nombre anómalo de Ventura resolvió a la dirección del canal de mando, lo hizo a través del registro que traduce un nombre en su dirección IPv4 —el mismo que usa cualquier equipo para encontrar una web.

Saber leer el tipo de registro te ayuda a interpretar la respuesta: no es lo mismo un equipo pidiendo la dirección de un servidor que uno pidiendo, en volumen raro, registros que casi nadie consulta.