01Co je exfiltrace přes DNS
Program rozseká soubor na kousky, každý kousek zakóduje do písmen a číslic a ptá se na jména jako 4a6f686e20446f652c207061737377.x.example.com. Jmenné servery té domény patří útočníkovi: přijímají kousky a jejich odpovědi mohou přinášet příkazy. Nástroje jako iodine nebo dnscat2 tak staví celý tunel.
MITRE ATT&CK, referenční katalog technik útočníků, ji řadí pod tři techniky: T1048 (exfiltrace alternativním protokolem), T1071.004 (řízení a kontrola přes DNS) a T1572 (tunelování protokolu).
02Co Warda kontroluje
Na kartě Data leaks through DNS v Protection settings (zdarma, ve výchozím stavu zapnuto) čte Warda dotazovaná jména, na krabičce, a nic jiného: nic se nedešifruje a jména (data) se nikdy neuchovávají.
- Zakódovaná jména: část pod doménou je velmi dlouhá (100 znaků a víc), nebo její nejdelší část má 20 znaků a víc a vypadá náhodně: vysoká entropie s vmíchanými číslicemi, nebo skoro žádné samohlásky.
- Ve velkém množství: když se jedno zařízení během 10 minut zeptá na 40 různých zakódovaných jmen pod stejnou doménou, je ta doména pro toto zařízení na 24 hodin zablokovaná a správci dostanou upozornění.
- Od Wardy 0.9.10 druhý signál: když se jedno zařízení během 10 minut zeptá na 30 různých jmen pod jednou doménou s neobvyklým typem záznamu (TXT, NULL, MX, CNAME, ANY…), doména se pro toto zařízení zablokuje také. Vynechána jsou krátká jména (méně než 8 znaků pod doménou) a části začínající „_“ — to, na co se poštovní servery a služby ptají celý den: _dmarc, _domainkey, _spf. Warda 0.9.10 také ukazuje zařízení, která se ptají jiného DNS serveru než Wardy.
- Služby, které kódují záměrně (blokovací seznamy poštovních serverů, dotazy antivirů, sdílená jména cloudů), jsou vyňaty; Allow this domain zruší blokování pro službu, které věříte.
03Co pomáhá okolo
Tunel potřebuje vlastní doménu, často novou. Další ochrany Wardy zavírají oklikové cesty:
- kategorie nových domén, k blokování podle profilu, a reputace domén, která se ptá analytické služby Wardy na doménu, kterou domácnost málo zná (krabičku opouští jen doména);
- kategorie obcházení filtru: známé služby DNS over HTTPS, VPN a proxy, blokované pro děti a dospívající, a Soukromý přenos iCloud pro jejich zařízení doma;
- testovací jméno Firefoxu, use-application-dns.net, na které Warda odpoví „neexistuje“: Firefox si pak ponechá DNS sítě místo svého.
04Limity, řečeno otevřeně
- Dotaz poslaný rovnou na 8.8.8.8 k Wardě nikdy nedorazí: zavřít porty DNS ostatním zařízením je úkol routeru.
- Pomalý únik není vidět: méně než asi 4 zakódovaná jména za minutu (40 za 10 minut) nebo 3 jména neobvyklých typů za minutu (30 za 10 minut) zůstane pod prahy.
- Tunel uvnitř šifrovaného spojení s veřejným resolverem (DNS over HTTPS na portu 443) Wardě nic neukáže, pokud služba není známá a zablokovaná.
- Upozornění říká, že se zařízení chová jako tunel, ne který program to dělá: zařízení zkontrolujte a mezitím ho dejte do karantény.