DNS como canal de exfiltración: los resolvers recursivos, el aliado silencioso del atacante
Los atacantes codifican datos en consultas DNS y usan la infraestructura de resolución como relevo. El tráfico permitido y poco inspeccionado se convierte en una vía de fuga sigilosa.
Los resolvers recursivos de DNS, esa infraestructura que da nombre a las máquinas, pueden convertirse en un canal silencioso para sacar datos de una red. Un atacante que controle un dominio puede hacer que un equipo comprometido genere consultas DNS con datos codificados en los subdominios, y el resolver hará el trabajo de reenviarlas hasta el servidor autoritativo del atacante. No hay conexión directa al servidor externo, ni subida de archivos que active los controles habituales.
La técnica se apoya en que casi todas las organizaciones permiten el tráfico DNS de forma amplia: es necesario para que todo funcione, y su volumen lo convierte en ruido de fondo. Además, los registros DNS suelen ser incompletos o de retención corta, y los nombres de dominio admiten etiquetas de hasta 63 octetos, espacio de sobra para trozos de datos codificados.
El mecanismo es simple: el malware genera nombres como datos-codificados.chunk-id.sesion.dominio-del-atacante. El resolver del equipo lo reenvía por la jerarquía DNS hasta el servidor del atacante, que registra el nombre completo y reconstruye la información. Desde el punto de vista del equipo, solo ha hablado con su resolver habitual.
El caché introduce un problema para el atacante: si muchos clientes piden el mismo nombre, el resolver responde desde caché y la consulta no llega al servidor del atacante. La solución es generar nombres únicos para cada consulta, con identificadores aleatorios. Eso crea un patrón detectable: alta cardinalidad de subdominios bajo un mismo dominio padre, algo poco habitual en el tráfico legítimo. Para el defensor, ese es uno de los mejores indicadores de exfiltración por DNS.
Los resolvers internos, aunque dan un punto de inspección central, se convierten en un relevo autorizado si no se monitorizan sus consultas. Los resolvers públicos (Google, Cloudflare, Quad9) pueden usarse para saltarse la visibilidad interna, y el DNS cifrado (DoH, DoT) añade otra capa de ofuscación.
La conclusión práctica: vigilar los registros completos de consultas DNS y detectar picos de subdominios únicos es una medida de defensa real. Los firewalls que solo registran flujos no bastan; hace falta registrar los nombres consultados.
