C2 sobre DNS: límites de ancho de banda y registro

El estándar RFC 1035 para el sistema de nombres de dominio impone límites estrictos en la estructura de los nombres: cada etiqueta o fragmento de subdominio no puede superar los 63 octetos, y el nombre de dominio completo (FQDN) tiene un límite máximo de 253 caracteres.

Cualquier comando o archivo transmitido a través de este canal debe fraccionarse en decenas de consultas individuales, generando una sobrecarga computacional y de red masiva que vuelve inviable transferir archivos de gran volumen.

En infraestructuras Windows Active Directory, las estaciones de trabajo dirigen sus consultas DNS a los servidores DNS internos (generalmente alojados en los propios controladores de dominio).

Cuando las empresas activan la auditoría avanzada de consultas DNS (DNS Analytical Logging / Event ID 3008), cada resolución solicitada queda registrada con la marca de tiempo, la dirección IP del equipo emisor y el nombre exacto del registro consultado, permitiendo a los analistas reconstruir la carga útil completa.

A la luz de estas limitaciones y de la alta visibilidad estadística de los túneles continuos, los operadores de Red Team no utilizan el protocolo DNS para interacciones interactivas ordinarias de consola.

El canal sobre DNS se reserva como una baliza pasiva de último recurso: configurada para enviar un pulso de comprobación cada varias horas, suficiente para notificar que el host sigue comprometido y permitir la activación de una vía alternativa cuando sea necesario.