DNS-Tunneling

Was ist DNS und was ist DNS-Tunneling?

Das Domain Name System (DNS) ist das Protokoll, welches URLs in IP-Adressen auflöst. Da DNS ist weit verbreitet und gilt als vertrauenswürdig, deswegen überwachen Unternehmen ihren DNS-Verkehr meist nicht auf bösartige Aktivitäten. Infolgedessen können eine Reihe von DNS-basierten Angriffen gegen Unternehmensnetzwerke effektiv sein, darunter zählt auch das DNS-Tunneling. Das DNS-Tunneling ist eine Methode, mit der Daten über das DNS-Protokoll versendet werden, einem Protokoll, welches nicht für die Datenübertragung vorgesehen ist.

Anwendungsfälle

http via DNS

Der beliebteste Anwendungsfall für DNS-Tunneling ist der Zugang zu kostenlosem Internet durch Umgehung von gesperrten Portalen an Flughäfen, in Hotels oder übers WLAN im Flugzeug.

Die Etablierung des DNS-Tunnels erfolgt über entsprechende DNS-Tunneling-Tools.

An diesen gemeinsam genutzten Internet-Hotspots wird der HTTP-Verkehr blockiert, bis ein Benutzername/Passwort eingegeben wird, aber der DNS-Verkehr ist im Allgemeinen im Hintergrund noch erlaubt.

Somit kann der HTTP-Verkehr über DNS verschlüsselt werden und somit einen Internetzugang etablieren.

DNS-Tunneling im Angriffszenario

das DNS-Protokoll wird zweckentfremdet und genutzt um Malware und andere Daten über die Client-Server-Kommunikation zu tunneln

ein Angreifer registriert eine Domain (badsite.com)

dieser registrierte DNS-Eintrag (DNS-Record) verweist auf den Server des Angreifers

der Opfer-Computer wird mit Malware infiziert

etabliert verdeckte Kanäle über DNS, um die Kommunikation zu verbergen oder die von Netzwerkadministratoren festgelegten Richtlinien zu umgehen

der infizierte Computer hinter der Firewall darf DNS über die Firewall machen

des infizierten Computers macht eine DNS-Anfrage für badsite.com

der DNS-Server (DNS-Resolver) leitet Traffic auf Command und Control-Server

auf Command und Control-Server ist ein DNS-Tunneling-Programm installiert

Aufbau eines DNS-Tunnels über den Resolver zwischen Opfer- und Angreifer

DNS-Tunnel kann zur Exfiltration von Daten oder für andere bösartige Zwecke verwendet werden

Verbindung erfolgt über DNS-Server (Resolver) -> somit keine direkte Verbindung zwischen Opfer und Angreifer

Erhöht die Schwierigkeit den Rechner des Angreifers zu verfolgen

Wie erfolgt der Datenversand über den DNS-Tunnel?

der Datenversand erfolgt verschlüsselt über den DNS-Requests

das geschieht z.B. durch Voranstellen eines Datenteils in der Domain der Anfrage

z.B. encodedpieceofdata.badsite.com

der DNS-Server ermittelt zu der URL die passende IP-Adresse des Servers

die Anfrage encodedpieceofdata.badsite.com wird an den Ziel-Server weitergeleitet

der Server verarbeitet die Instruktionen aus dem encodedpieceofdata wie z.B. eine HTTP-Abfrage

der Server antwortet per DNS-Request zurück