¿Puede el malware esconderse en DNS sobre HTTPS, y lo seguiremos viendo?

Puede, y la visibilidad baja. DNS sobre HTTPS (DoH) envía las consultas de nombres dentro de tráfico web cifrado corriente a un resolvedor, a menudo público, de modo que su propio servidor DNS y sus registros nunca las ven. Los navegadores y algunos sistemas operativos pueden activarlo por su cuenta, y el malware puede usarlo para ocultar tanto sus consultas como datos tunelados. Lo que sí puede hacer: configurar por directiva navegadores y dispositivos para que usen su propio resolvedor, bloquear en el cortafuegos los resolvedores DoH públicos conocidos cuando encaje con su entorno y revisar cualquier dispositivo que envíe tráfico cifrado constante a un resolvedor DoH ignorando su servidor DNS. Un sensor de red ve la conexión con el resolvedor, su ritmo y su volumen, pero no los nombres que lleva dentro. NetSenX nunca descifra el tráfico, así que no puede leer consultas DoH; aun así puede señalar el patrón de beaconing.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas