DNS : Le moyen le plus simple d'extraire des données ?

Une requête DNS (système de noms de domaine) est le point de départ de presque tout ce qui se passe sur Internet. Il n'est donc pas surprenant que les acteurs malveillants exploitent le protocole DNS. Il existe un certain nombre de façons d'abuser du DNS, y compris l'amplification DNS, qui est utilisée pour les attaques de déni de service distribué, et le détournement de DNS, qui est utilisé pour rediriger une requête DNS inoffensive vers un domaine malveillant. L'exfiltration DNS est plus avancée, plus ciblée, et moins fréquemment observée. 

Tunnellisation DNS à haut débit contre exfiltration DNS à faible débit

Bien que la technique de base utilisée à la fois pour la tunnellisation DNS à haut débit et l'exfiltration DNS à faible débit soit globalement semblable, il existe des différences significatives entre ces deux méthodes. En termes de similarités, toutes deux utilisent le protocole DNS pour transférer des données qui ne sont pas liées à la requête DNS, ce qui est réalisé en ajoutant des données supplémentaires à la requête DNS. Toutes deux tirent parti du fait que la plupart des entreprises n'interfèrent pas avec le trafic DNS en raison de son rôle critique. Mais ce sont là leurs seuls points communs.

Lorsque la tunnellisation DNS à haut débit fonctionne, un changement important se produit dans les volumes de trafic DNS vers un domaine spécifique ou vers plusieurs domaines ; la longueur de la requête DNS vers le ou les domaines augmente, et le délai entre les requêtes est plus court. La tunnellisation DNS peut être utilisée à des fins relativement inoffensives (par exemple, pour contourner un réseau Wi-Fi) ou à des fins malveillantes (par exemple, pour communiquer avec un serveur de commande et de contrôle [C2]). Toutefois, en raison de ses caractéristiques, la détection et le blocage de la tunnellisation DNS sont relativement simples.

À l'inverse, lorsqu'une exfiltration de données DNS à faible débit est en cours, il n'y a pas d'augmentation significative des volumes de trafic vers un ou plusieurs domaines, et les écarts sont plus longs entre les requêtes. Par exemple, un terminal infecté par un logiciel malveillant peut se réveiller toutes les heures uniquement et envoyer une requête DNS avec un court message ajouté à son serveur C2. Cela rend la détection de l'exfiltration DNS à faible débit extrêmement difficile, sans augmenter le nombre de fausses alertes de sécurité positives.

Pourquoi les pirates aiment-ils l'exfiltration de données à faible débit ?

Une grande limite de l'utilisation du DNS pour le transfert de données est que la longueur du message DNS est limitée à 255 octets, et qu'une grande partie de cette quantité peut être occupée par des messages de contrôle UDP. Toutefois, comme nous l'avons déjà mentionné, les entreprises hésitent à manipuler le trafic DNS, ce qui signifie souvent qu'il n'est pas surveillé. Lorsque cette surveillance existe, elle est très susceptible de ne pouvoir identifier que la tunnellisation à haut débit. 

Ce scénario rend l'utilisation de l'exfiltration de données à faible débit très attrayante pour les pirates, en particulier lorsque les données extraites sont extrêmement précieuses, comme des numéros de carte de crédit. L'extraction des informations de la carte peut prendre un certain temps, mais cette approche « low-and-slow » peut en valoir la peine.

Protections contre l'exfiltration DNS

Étant donné que les programmes malveillants d'exfiltration DNS à faible débit peuvent être extrêmement dangereux et potentiellement entraîner une violation de données importante et coûteuse pour une entreprise, l'équipe de recherche sur la sécurité d'Akamai s'est récemment concentrée  sur une meilleure compréhension du problème afin d'élaborer une technique de détection plus efficace. Une grande partie de cette recherche a été traitée en détail dans cet article, qui vaut la peine d'être lu si vous aussi souhaitez comprendre le sujet plus en détail.

Notre algorithme de détection de l'exfiltration des données via DNS a été mis à l'œuvre à la suite de cette recherche et a été continuellement amélioré au fil du temps, afin d'améliorer la vitesse et la précision de la détection et de minimiser les fausses alertes positives. Il est utilisé pour analyser en permanence les journaux de trafic DNS des clients qui ont déployé notre passerelle Web sécurisée dans le cloud. Lorsqu'une nouvelle détection se produit, nous alertons de manière proactive le client concerné, et les domaines associés à l'exfiltration sont ajoutés à nos informations sur les menaces afin que tous les clients soient ensuite protégés.

En avril 2022, le système a mis en évidence une instance d'exfiltration DNS qui a montré l'efficacité de l'algorithme. Il a identifié une explosion du trafic DNS vers un certain nombre de domaines dans les journaux de trafic des clients, où les données exfiltrées étaient ajoutées aux requêtes adressées aux sous-domaines. Le plus intéressant, c'est que l'algorithme a détecté cela dans la première heure d'activité, et que la détection reposait sur un nombre relativement faible de requêtes aux sous-domaines : 1 109 au total.