Redirigidores DNS y comportamiento con consultas inválidas

En un canal encubierto sobre DNS, la máquina comprometida no se conecta de forma directa a una dirección IP externa. En su lugar, solicita la resolución de nombres de subdominios codificados (por ejemplo, base64data.ns.campana.net) a través de los servidores DNS corporativos del cliente.

El servidor DNS intermedio del Red Team, configurado como servidor de nombres autoritativo delegado (NS record), intercepta estas solicitudes de resolución y reenvía las cargas útiles descodificadas hacia el servidor de mando.

Los servidores de nombres públicos de internet reciben constantemente escaneos y solicitudes de resolución de registros aleatorios.

Si el demonio DNS del Red Team devuelve registros de depuración o respuestas anómalas ante consultas estándar (como peticiones de tipo A o MX para la raíz del dominio), los investigadores de CTI detectarán que el servicio no es un servidor DNS convencional. El redirigidor debe responder con códigos estándar de nombre no existente (NXDOMAIN) o desviar las respuestas a IPs públicas genéricas.

Los sistemas SIEM modernos y las soluciones de protección de red (NDR) calculan la entropía y la longitud de las consultas de resolución de nombres.

Un flujo continuo de miles de consultas de tipo TXT con subdominios extensos y alta entropía genera una alerta estadística inmediata por tunelización DNS (DNS Tunneling). El uso de este canal debe reservarse para pulsos de rescate discretos o balizas de emergencia con transferencia de datos mínima.