Exfiltration DNS

Définition

L'exfiltration DNS est une technique d'exfiltration de données qui encode des données sensibles dans des requêtes DNS et les envoie vers un serveur DNS contrôlé par l'attaquant. Le protocole DNS étant généralement autorisé en sortie sur tous les réseaux (même les plus restrictifs), c'est un canal d'exfiltration discret et difficile à bloquer sans perturber la résolution de noms. Le principe : les données à exfiltrer sont encodées en base32 ou en hexadécimal (pour être compatibles avec les noms de domaine DNS), puis encodées dans des sous-domaines de requêtes DNS vers un domaine contrôlé par l'attaquant. Par exemple, aGVsbG8gd29ybGQ.attaquant.com encode 'hello world' dans le sous-domaine. Le serveur DNS de l'attaquant reçoit ces requêtes et décode les données. Des outils comme DNScat2, iodine, et dns2tcp implémentent des tunnels DNS bidirectionnels complets, permettant non seulement l'exfiltration de données mais aussi des tunnels TCP arbitraires (SSH, HTTP) via DNS. DNScat2 est particulièrement utilisé pour les communications C2 dans des environnements où seul DNS est autorisé en sortie. Les limitations de l'exfiltration DNS incluent : la longueur maximale d'un nom de domaine (253 caractères, soit environ 150 octets par requête encodés en base32), la nécessité d'avoir un serveur DNS autoritaire pour le domaine de l'attaquant, et une vitesse d'exfiltration relativement faible (quelques KB/s pour les implémentations non optimisées). La détection de l'exfiltration DNS repose sur : l'analyse du volume de requêtes DNS vers un seul domaine (excessivement élevé), la longueur anormale des sous-domaines (base32/hex de données encodées), les entropies élevées dans les noms de sous-domaines (strings aléatoires vs. noms lisibles), et les requêtes vers des domaines récemment enregistrés.