Dominios generados y túneles leídos en el registro

Un túnel de DNS usa las consultas y respuestas del servicio de nombres como canal para llevar información: los datos viajan escondidos en los propios nombres consultados y en las respuestas de un servidor que controla quien está al otro lado. Como casi toda red deja salir el DNS, el canal pasa desapercibido si nadie mira los nombres.

Desde el registro se reconoce por sus rasgos, no por su contenido: muchos nombres distintos bajo un mismo dominio base, etiquetas largas, una sola máquina que lo hace, un tipo de registro poco habitual y un ritmo regular. No hace falta descifrar nada para describirlo.

Para hallar el dominio base se agrupan las consultas por «lo que no cambia» (la parte final del nombre) y se compara cuántas consultas hay con cuántos nombres distintos. En un servicio normal, los nombres se repiten: muchas consultas, pocos nombres. En un túnel, casi cada consulta es un nombre nuevo, así que nombres_distintos se acerca a consultas. Y un servicio de contenido legítimo que también tiene muchos nombres distintos lo hace con muchos equipos a la vez, no con uno.

Consulta dominios_base_hora y combina las columnas nombres_distintos, clientes_distintos y etiqueta_media.

Un número que se saca de la tabla da más fuerza al informe que un «parece». Si en una hora hubo cientos de consultas hacia un dominio y casi todas fueron nombres distintos, lo normal en un servicio sería que hubiera muchos más repetidos. Restando nombres_distintos a consultas sale cuántas consultas repitieron un nombre ya visto.

Esa resta es el dato que contrasta el «casi todo es único» con lo que hace un servicio corriente.

Los dominios generados por algoritmo se reconocen por otra huella: un equipo pide, en pocos segundos, una serie de nombres sin sentido, casi todos con NXDOMAIN, porque solo unos pocos de los nombres generados existen realmente. La ráfaga termina cuando uno resuelve. Ese nombre y la dirección que devuelve son los datos que importan al informe: el nombre se busca en el resto de la red y la dirección se busca en los registros de conexiones.

Aquí solo se lee la secuencia ya registrada; no se reproduce ni se intenta adivinar ninguna otra.

En dominios_base_hora hay un dominio con etiqueta media de 20 caracteres, el de un servicio de actualización del antivirus. Parece sospechoso por la longitud, pero solo tiene dos nombres distintos que se repiten ciento veinte veces, a un compás de treinta segundos, desde un servidor que lo tiene autorizado. Es una tarea programada, no un canal.

La longitud sola no distingue: lo que desmonta la sospecha es que los nombres se repiten y que la respuesta es pequeña y habitual.