Part #1
Una solicitud de sistema de nombres de dominio (DNS) es el punto de partida para casi todo lo que sucede en Internet, por lo que no es ninguna sorpresa que quienes lanzan amenazas se aprovechen del protocolo DNS.
uno de los problemas más comunes que todo pentester suele encontrarse en algún momento de la auditoría o ejercicio de Red Team, es la comunicación al exterior desde un host comprometido.
Existen muchas herramientas para realizar la exfiltracion de datos algunas con mas caracteristicas otras con menos, siempre me ha gustado en lo posible desarrollar herramientas ofensivas para la compresion profunda desde su codigo y la ventaja de la customizacion siendo un plus en algunos escenarios
en esta breve poc explicare algunas caracteristicas de lazydns la cual se encuentra en su fase beta
- servidor multiplataforma
- carga nativa
- cifrado de la informacion exfiltrada (xor + hex)
- hilos sobre cada consulta
- control de longitud de los datos enviados
- asignacion dominio Fake
la Exfiltracion de datos por Dns consiste en leer el contenido de un archivo, codificarlo en un formato de consulta DNS válido, separarlo en partes y adjuntar cada una de ellas en una petición única hacia el servidor DNS del atacante.
Una vez el atacante reciba todas las partes del archivo, las unirá y luego las decodificará para poder leer finalmente el contenido del mismo.
desde la parte del servidor se recibe la data fragmentada por la asignacion de longitud parametrizada al momento de genera la carga la cual a es almacenada en una matriz de bytes para posteriormente ser descrifada
Hexadecimal > Xor > file.pdf
un blue team al momento de revisar las consultas podra canalizar y observar el trafico dns cifrado.
que en este caso seria nuestra ip del servidor donde estamos alojando lazydns para recibir la data fragmentada donde solamente se le ha apuntado con un dominio evil.com para resolver nuestra ip 192.168.1.1
para proteger nuestra ip del servidor podemos montar uno o varios redirectors sobre dns los cuales se van a encargar de recibir las consultas y redireccionarlae hacia nuestro servidor real LAZYDNS
ejecucucion run time lab Kapersky EDR CLOUD
