DNSteal : comprendre l'exfiltration de données via le protocole DNS

Le DNS, ce protocole que tout le monde oublie de surveiller

Imaginez un instant votre réseau d'entreprise. Vous avez probablement investi dans un pare-feu solide, un proxy qui inspecte le trafic web, peut-être même une solution qui bloque les transferts de fichiers vers l'extérieur. Les grandes portes sont bien gardées. Et pourtant, il reste presque toujours une petite fenêtre entrouverte, celle par laquelle personne ne pense à regarder : le DNS.

Le DNS (Domain Name System), c'est l'annuaire d'Internet. À chaque fois que vous tapez une adresse dans votre navigateur, une requête part discrètement pour traduire ce nom en adresse IP. C'est un service tellement fondamental qu'il est quasiment toujours autorisé à sortir du réseau, sans filtrage ni inspection approfondie. Et c'est précisément là que les choses deviennent intéressantes du point de vue de la sécurité : un outil comme DNSteal exploite justement cette confiance aveugle accordée au protocole DNS.

Illustration de l'exfiltration de données via le protocole DNS avec DNSteal - Crédit photo : © Github.com

Qu'est-ce que DNSteal ?

DNSteal est un outil développé en Python et disponible librement sur GitHub. Derrière ce nom qui sonne comme un jeu de mots (« DNS » + « steal », voler en anglais), se cache un faux serveur DNS. Sa mission : recevoir des fichiers qui lui sont envoyés depuis une machine, non pas par un transfert classique, mais dissimulés à l'intérieur de requêtes DNS parfaitement anodines en apparence.

Concrètement, l'outil se place du côté de l'attaquant. Il écoute le trafic DNS et attend qu'une machine compromise vienne lui « parler ». Chaque morceau du fichier à exfiltrer est encodé dans les sous-domaines d'une requête. Le serveur, lui, se contente de collecter ces bribes, de les remettre dans l'ordre et de reconstituer le fichier d'origine. Vu de l'extérieur, il ne se passe rien d'autre que d'innocentes résolutions de noms de domaine, et vous comprenez tout de suite pourquoi ce type de technique est aussi redoutable.

Il faut le préciser d'emblée : DNSteal est un outil destiné aux professionnels de la sécurité et aux équipes qui réalisent des tests d'intrusion autorisés. Le présenter ici, c'est avant tout comprendre une menace pour mieux s'en défendre.

Comment fonctionne l'exfiltration via DNS ?

Le principe repose sur une astuce simple mais élégante. Un nom de domaine peut contenir plusieurs sous-domaines, chacun limité à 63 octets. DNSteal profite de cet espace pour y glisser des fragments de données encodées, et en multipliant les requêtes, on finit par transmettre l'intégralité d'un fichier.

Côté serveur

On lance DNSteal sur la machine qui va récupérer les données, en lui indiquant l'adresse IP sur laquelle écouter. Une commande typique ressemble à ceci :


python dnsteal.py 127.0.0.1 -z -v

Ici, l'option -z active la décompression gzip et l'option -v le mode verbeux, qui affiche le détail de ce qui transite. Par défaut, l'outil réserve 45 octets par sous-domaine, répartit les données sur 4 sous-domaines et garde 15 octets pour le nom du fichier. Une fois lancé, DNSteal vous fournit gentiment la ligne de commande à exécuter sur la machine distante pour envoyer les fichiers.

Côté machine distante

De l'autre côté, aucun logiciel spécifique n'est nécessaire, et c'est bien là toute la finesse de la chose. Il suffit d'une simple ligne de commande utilisant des outils déjà présents sur la plupart des systèmes, comme dig. Le fichier est découpé, encodé, puis envoyé requête après requête vers le faux serveur DNS. Pas d'exécutable suspect à déposer, pas de connexion sortante inhabituelle : juste du DNS, encore et toujours du DNS.

Les atouts qui rendent DNSteal intéressant

Si cet outil s'est fait une place de choix dans la boîte à outils des professionnels du test d'intrusion, ce n'est pas un hasard. Plusieurs caractéristiques expliquent son intérêt.

La véritable force de DNSteal réside dans sa discrétion : il transforme un protocole de confiance en canal d'exfiltration invisible pour la plupart des dispositifs de sécurité.

D'abord, la furtivité. En s'appuyant exclusivement sur le DNS, l'outil passe sous le radar de nombreux systèmes de surveillance concentrés sur le trafic HTTP et HTTPS. Peu d'organisations inspectent réellement le contenu de leurs requêtes DNS, ce qui en fait un angle mort de choix.

Ensuite, la compression gzip. Grâce à l'option dédiée, les fichiers sont compressés avant leur départ. Résultat : moins de requêtes à émettre, une exfiltration plus rapide et une empreinte réseau réduite. Quand on sait que chaque octet compte dans ce genre d'exercice, c'est loin d'être un détail.

Il y a aussi la gestion de plusieurs fichiers. DNSteal ne se limite pas à un seul document : il sait recevoir et reconstituer plusieurs fichiers au cours d'une même session, ce qui facilite grandement les scénarios réalistes.

Enfin, la personnalisation. L'outil laisse à l'utilisateur le soin d'ajuster finement ses paramètres : le nombre d'octets par sous-domaine, le nombre de sous-domaines par requête et l'espace réservé au nom du fichier. Ces réglages permettent d'adapter le comportement de l'outil aux contraintes du réseau ciblé, entre discrétion maximale et rapidité de transfert.

Pourquoi s'y intéresser ?

Vous vous demandez peut-être pourquoi un éditeur spécialisé en sécurité informatique vous parle d'un outil capable de subtiliser des données. La réponse tient en une phrase : on ne se défend bien que contre ce que l'on comprend.

DNSteal est un excellent support pédagogique. Il illustre de façon concrète une technique bien connue des attaquants, celle du « DNS tunneling », que l'on retrouve dans de nombreuses campagnes d'exfiltration de données et dans certains logiciels malveillants avancés. Pour une équipe de sécurité, manipuler cet outil dans un environnement contrôlé, c'est apprendre à reconnaître les signaux d'une telle attaque : un volume anormal de requêtes DNS, des noms de domaine à rallonge et truffés de caractères encodés, ou encore des résolutions répétées vers un même serveur suspect.

C'est aussi un formidable outil de test pour valider l'efficacité de vos défenses. Vos solutions de détection lèvent-elles une alerte lorsque des mégaoctets de données partent sous forme de requêtes DNS ? Un test grandeur nature avec DNSteal apporte des réponses claires.

Comment se protéger de ce type de menace ?

Comprendre DNSteal, c'est bien ; s'en prémunir, c'est mieux. Plusieurs bonnes pratiques permettent de réduire considérablement le risque d'exfiltration via DNS.

La première consiste à surveiller activement votre trafic DNS, à la recherche de comportements anormaux : requêtes exceptionnellement longues, fréquence élevée vers un même domaine, ou noms remplis de chaînes encodées. La seconde est de canaliser le DNS : interdisez aux postes de travail d'interroger directement des serveurs externes et forcez le passage par vos résolveurs internes, plus faciles à superviser. Vous pouvez enfin vous appuyer sur des solutions de sécurité qui intègrent la détection du DNS tunneling et bloquent les domaines réputés malveillants.

Enfin, gardez à l'esprit un principe simple : un protocole autorisé n'est pas un protocole sûr. Le DNS mérite autant d'attention que le trafic web, car il constitue une voie de sortie tout aussi crédible pour un attaquant patient.

En résumé

DNSteal est un petit outil qui frappe fort. En quelques lignes de Python, il démontre à quel point une technologie aussi banale que le DNS peut se transformer en canal d'exfiltration discret et redoutablement efficace. Pour les professionnels de la sécurité, il représente à la fois un outil de test précieux et une piqûre de rappel salutaire : les menaces les plus élégantes empruntent souvent les chemins les moins surveillés. À vous, désormais, de vérifier que cette fenêtre entrouverte sur votre réseau est bien fermée à double tour.

Avertissement

L'utilisation de ce programme ne peut se faire que dans le cadre légal d'un audit de vulnérabilités, basé sur le consentement mutuel. Il est de la responsabilité de l'utilisateur final de ne pas utiliser ce programme dans un autre cadre. SecuriteInfo.com n'assume aucune responsabilité et n'est pas responsable de toute mauvaise utilisation ou de tout dommage causé par ce programme.

Téléchargement

Quelques suggestions sur le sujet du DNS

Vous avez aimé cet article ? Voici quelques suggestions qui devraient vous plaire :