01Qué es la exfiltración DNS
Un programa corta un archivo en trozos, codifica cada trozo en letras y cifras, y pide nombres como 4a6f686e20446f652c207061737377.x.example.com. Los servidores de nombres de ese dominio son del atacante: reciben los trozos, y sus respuestas pueden traer órdenes. Herramientas como iodine o dnscat2 montan así un túnel completo.
MITRE ATT&CK, el catálogo de referencia de las técnicas de los atacantes, la recoge en tres técnicas: T1048 (exfiltración por un protocolo alternativo), T1071.004 (mando y control por DNS) y T1572 (túnel de protocolo).
02Qué comprueba Warda
En la tarjeta Fugas de datos por DNS de Ajustes de protección (gratis, activada por defecto), Warda lee los nombres pedidos, en la caja, y nada más: no se descifra nada, y los nombres (los datos) nunca se guardan.
- Nombres codificados: la parte bajo el dominio es muy larga (100 caracteres o más), o su segmento más largo tiene 20 caracteres o más y parece aleatorio: una entropía alta con cifras mezcladas, o casi sin vocales.
- En cantidad: cuando un dispositivo pide 40 nombres codificados distintos bajo un mismo dominio en 10 minutos, ese dominio se bloquea para ese dispositivo durante 24 horas, y los administradores reciben una alerta.
- Desde Warda 0.9.10, una segunda señal: cuando un dispositivo pide, en 10 minutos, 30 nombres distintos bajo un mismo dominio con un tipo de registro poco habitual (TXT, NULL, MX, CNAME, ANY…), el dominio también se bloquea para ese dispositivo. Se dejan fuera los nombres cortos (menos de 8 caracteres bajo el dominio) y los segmentos que empiezan por «_» — lo que los servidores de correo y los servicios piden todo el día: _dmarc, _domainkey, _spf. Warda 0.9.10 también muestra los dispositivos que consultan otro servidor DNS que no es Warda.
- Los servicios que codifican a propósito (las listas de bloqueo de los servidores de correo, las consultas de los antivirus, los nombres compartidos de las nubes) quedan fuera; Permitir este dominio levanta un bloqueo para un servicio de confianza.
03Lo que ayuda alrededor
Un túnel necesita un dominio propio, a menudo reciente. Otras protecciones de Warda cierran los atajos:
- la categoría de los dominios nuevos, para bloquear por perfil, y la reputación de los dominios, que pide la opinión del servicio de análisis de Warda sobre un dominio que el hogar conoce poco (solo el dominio sale de la caja);
- la categoría de las formas de saltarse el filtro: los servicios conocidos de DNS over HTTPS, VPN y proxy, bloqueados para niños y adolescentes, y el Relay privado de iCloud para sus dispositivos en casa;
- el nombre de prueba de Firefox, use-application-dns.net, al que Warda responde «no existe»: Firefox mantiene entonces el DNS de la red en lugar del suyo.
04Los límites, sin rodeos
- Una consulta enviada directamente a 8.8.8.8 nunca llega a Warda: cerrar los puertos del DNS a los demás dispositivos es trabajo del router.
- Una fuga lenta no se ve: menos de unos 4 nombres codificados por minuto (40 en 10 minutos), o 3 nombres de tipos poco habituales por minuto (30 en 10 minutos), queda por debajo de los umbrales.
- Un túnel dentro de una conexión cifrada a un resolvedor público (DNS over HTTPS en el puerto 443) no le muestra nada a Warda, salvo que el servicio sea conocido y esté bloqueado.
- Una alerta dice que un dispositivo se comporta como un túnel, no qué programa lo hace: revisa el dispositivo, y ponlo en cuarentena mientras tanto.