Questo articolo presenta un caso di studio sulle nuove applicazioni del tunneling del sistema dei nomi di dominio (DNS) che abbiamo trovato in natura. Queste tecniche vanno oltre il tunneling DNS per scopi di comando e controllo (C2) e reti private virtuali (VPN).
Gli attori malintenzionati utilizzano occasionalmente il tunneling DNS come canale di comunicazione segreto, in quanto può aggirare i firewall di rete convenzionali. Ciò consente il traffico C2 e l'esfiltrazione di dati che possono rimanere nascosti ad alcuni metodi di rilevamento tradizionali.
Tuttavia, di recente abbiamo individuato tre campagne che utilizzano il tunneling DNS per scopi diversi dall'uso tradizionale di C2 e VPN: scansione e tracciamento. Nella scansione, gli avversari utilizzano il tunneling DNS per analizzare l'infrastruttura di rete della vittima e raccogliere informazioni utili per attacchi futuri. Nel tracking, gli avversari utilizzano le tecniche di tunneling DNS per tracciare la consegna di e-mail dannose e monitorare l'uso delle reti di consegna dei contenuti (CDN).
Questo articolo fornisce un caso di studio dettagliato che rivela come gli avversari abbiano utilizzato il tunneling DNS sia per la scansione che per il tracciamento. Il nostro obiettivo è quello di aumentare la consapevolezza di questi nuovi casi d'uso e di fornire ulteriori informazioni che possano aiutare i professionisti della sicurezza a proteggere meglio le loro reti.