El túnel por DNS

Las consultas de nombres son el tráfico más rutinario que hay: cada web, cada aplicación, cada servicio resuelve nombres constantemente, y casi ninguna empresa inspecciona ese flujo con cuidado. Esa combinación —omnipresente y poco vigilado— lo hace atractivo como canal encubierto. Un malware puede meter datos y órdenes dentro de las consultas mismas, usando el sistema de nombres como tubería. La hipótesis: «si hay un túnel por DNS, veríamos consultas con forma de dato codificado, no de nombre real».

Lo que lo vuelve cazable es que para meter información en una consulta de nombres hay que deformarla, y esa deformación tiene una forma reconocible que el DNS normal no produce.

Para transportar datos, el malware los codifica dentro del nombre que consulta, y eso produce subdominios largos, con cadenas que parecen azar en vez de palabras, muy distintos de un nombre legible como el de una web. También puede usar tipos de registro poco comunes en la navegación normal, porque algunos cargan más datos en la respuesta. Un nombre que parece una ristra de caracteres sin sentido, repetido con variaciones, es la huella del dato escondido.

Se caza por la forma del nombre, no por el dominio concreto, que el adversario cambia. Un subdominio largo y de alta entropía —mucha variación, poca repetición de un idioma— no lo produce una persona ni una aplicación consultando un servicio real.

Una consulta rara suelta no es un túnel: el volumen lo delata. Transportar datos por DNS pide muchas consultas, porque en cada una cabe poco, así que un túnel activo dispara cientos o miles de consultas a un mismo dominio (o a sus subdominios) en poco tiempo. Una máquina que consulta un dominio centenares de veces por minuto, con nombres que cambian en cada una, está moviendo datos, no resolviendo servicios.

La señal es la combinación: forma deformada más volumen concentrado hacia un dominio. Cada una por su lado puede explicarse; juntas, describen una tubería de datos disfrazada de resolución de nombres.

No todo lo que consulta mucho es un túnel: algunos servicios legítimos son muy habladores con el DNS, y las redes de distribución de contenido generan nombres largos y cambiantes por diseño. Antes de escalar, el cazador mira qué proceso hace las consultas y si el dominio pertenece a un proveedor conocido: si es el navegador resolviendo una red de distribución reputada, es benigno; si es un intérprete consultando un dominio externo sin reputación, con nombres de alta entropía, el túnel se sostiene.

Saltarse este paso llena la caza de falsos positivos con servicios ruidosos legítimos. La confirmación está en cruzar el patrón de consultas con el proceso que las hace y la reputación del dominio de destino.

Abre el laboratorio de consultas de nombres. Hay dos dominios que acumulan mucho volumen. Uno es una red de distribución de contenido reputada que el navegador consulta: nombres largos pero de un proveedor conocido. El otro lo consulta un intérprete en bri-ws-lgarcia: miles de consultas con subdominios de alta entropía a un dominio externo sin reputación. Aísla el dominio del túnel y lee su anotación hasta el final.