Wat is DNS-tunneling? Zo werkt het, zo herken en voorkom je het

DNS-tunneling is een techniek waarmee iemand gegevens verstopt in DNS-verkeer, het verkeer waarmee computers domeinnamen opzoeken. Omdat bijna elk netwerk DNS doorlaat, gebruiken aanvallers het om ongemerkt gegevens weg te sluizen of een besmette computer op afstand te besturen. Je herkent DNS-tunneling aan ongewone DNS-vragen, zoals lange, onleesbare subdomeinen en heel veel vragen naar één onbekend domein, en je houdt het tegen door al het DNS-verkeer via één resolver te laten lopen die je kunt controleren en filteren.

In dit artikel lees je hoe een DNS-tunnel werkt, waarvoor hij wordt gebruikt, waaraan je hem herkent, hoe je hem voorkomt en wat je doet als je DNS-tunneling vermoedt.

Wat is DNS-tunneling?

DNS (Domain Name System) vertaalt namen als ljpc-hosting.nl naar IP-adressen. Je apparaat stelt die vraag aan een resolver, meestal de DNS-server van je internetprovider. Weet die het antwoord niet, dan vraagt hij het na bij de nameserver die verantwoordelijk is voor het domein. Hoe die keten loopt en wat er onderweg wordt bewaard, lees je in wat is DNS-cache.

Bij DNS-tunneling wordt die keten misbruikt als verborgen verbinding. De vraag zelf is de boodschap: in plaats van een normale naam staat er gecodeerde data in het subdomein. Het antwoord van de nameserver bevat op zijn beurt opdrachten of stukjes van een bestand. Zo ontstaat een verbinding in twee richtingen, verstopt in verkeer dat er voor de meeste firewalls uitziet als dagelijks opzoekwerk.

Dat werkt omdat DNS bijna overal is toegestaan. Zonder DNS werkt geen website of app, dus netwerken laten het verkeer meestal door, vaak zelfs voordat je op een wifi-netwerk bent ingelogd. MITRE ATT&CK, de kennisbank van aanvalstechnieken die beveiligers wereldwijd gebruiken, beschrijft DNS-tunneling daarom als een vaste techniek om besmette systemen te besturen.

Hoe werkt DNS-tunneling?

Een DNS-tunnel heeft twee kanten nodig: een programma op een apparaat binnen het netwerk en een nameserver buiten het netwerk die de aanvaller zelf beheert. Daartussen gaat het zo:

1. De aanvaller registreert een domein, bijvoorbeeld aanvaller.example, en wijst met NS-records een eigen nameserver aan. Alle vragen over dat domein komen voortaan bij die server uit, en de aanvaller leest alles wat er binnenkomt.
2. Een programma op een besmet apparaat zet gegevens om in tekst die in een domeinnaam past, bijvoorbeeld met base32- of hexcodering, en hakt die tekst in stukjes.
3. Elk stukje wordt een subdomein. Het programma vraagt bijvoorbeeld het IP-adres op van nnwgc3tumvxc4y3toy.0001.aanvaller.example. Het eerste deel is de gecodeerde bestandsnaam klanten.csv.
4. De resolver van het netwerk kent die naam niet en stuurt de vraag door naar de nameserver van de aanvaller. Omdat elk subdomein nieuw is, staat het antwoord nergens in een cache en komt elke vraag aan.
5. De nameserver stuurt een antwoord terug waarin data verstopt zit, bijvoorbeeld in een TXT-record of in het IP-adres van een A- of AAAA-antwoord. Zo krijgt het besmette apparaat zijn opdrachten.

Per vraag past er weinig data in een DNS-naam: elk deel tussen twee punten is maximaal 63 tekens en de hele naam maximaal 255 bytes (RFC 1035). Een tunnel stelt daarom heel veel vragen achter elkaar en is trager dan een normale internetverbinding. Voor wachtwoorden, opdrachten en documenten is dat snel genoeg.

Waarvoor wordt DNS-tunneling gebruikt?

• Besmette computers op afstand besturen (command and control). Malware vraagt via DNS om nieuwe opdrachten en stuurt de resultaten terug. De spionagegroep OilRig gebruikt zo al sinds minstens 2016 DNS-tunnels, blijkt uit onderzoek van Palo Alto Networks (Unit 42). Ook de SUNBURST-malware uit de SolarWinds-aanval communiceerde via DNS, en Cobalt Strike, een programma voor aanvalssimulaties dat ook criminelen veel gebruiken, kan zijn verkeer in DNS verpakken.
• Gegevens wegsluizen (exfiltratie). Gestolen gegevens gaan in stukjes als subdomeinen naar de nameserver van de aanvaller. Unit 42 beschreef in 2024 campagnes die op deze manier onder meer de financiële sector en de zorg aanvielen.
• Netwerkregels en betaalmuren omzeilen. Er bestaan VPN-diensten en opensourceprogramma's zoals iodine en dnscat2 die internetverkeer via DNS laten lopen. Mensen gebruiken ze om een firewall op het werk te omzeilen of om aan boord van een vliegtuig of cruiseschip internet te krijgen zonder te betalen, zag Unit 42.
• Legitieme diensten. Niet elke tunnel is een aanval. Beveiligingsleveranciers gebruiken DNS bijvoorbeeld voor snelle controles van bestanden en domeinen, en spamfilters zoeken IP-adressen op in DNS-blokkeerlijsten. Zulke vragen lijken op een tunnel, dus een goede controle houdt een lijst bij van wat je bewust toestaat.

DNS-tunneling herkennen: waar let je op?

Aan je computer of website zelf zie je een DNS-tunnel niet. Je ziet hem in het DNS-verkeer, dus begin bij het logboek van de plek waar alle DNS-vragen langskomen: je eigen DNS-server, je firewall, je router of een DNS-filterdienst. Daarin vallen deze signalen op:

Eén signaal zegt nog weinig: een cloudopslagdienst of virusscanner stelt ook veel vragen. De combinatie maakt het verdacht, bijvoorbeeld een onbekend domein dat ineens duizenden lange, unieke namen krijgt van één laptop.

Zo controleer je je netwerk

1. Zet het logboek aan op je DNS-server, router of firewall, of gebruik een DNS-filterdienst met een logboek.
2. Tel per domein hoeveel verschillende subdomeinen er zijn opgevraagd. Bovenaan staan meestal bekende diensten; kijk vooral naar domeinen die je niet kent.
3. Bekijk bij een verdacht domein de lengte van de namen en de recordtypes die worden opgevraagd.
4. Zoek uit welk apparaat de vragen stelt (het IP-adres staat in het logboek) en welk programma erachter zit.
5. Kijk met dig NS aanvaller.example welke nameserver het domein gebruikt. Hoe je dig en nslookup gebruikt, lees je in DNS-problemen oplossen.

Voor grotere netwerken is er software die dit voor je bijhoudt, zoals Zeek en Suricata: die leggen elke DNS-vraag vast en melden met regels verdachte patronen. Ook veel zakelijke beveiligingspakketten hebben een detectie voor DNS-tunneling.

DNS-tunneling voorkomen

Je voorkomt DNS-tunneling met een combinatie van maatregelen. De kern: zorg dat DNS maar één weg naar buiten heeft, en dat je die weg kunt zien en filteren.

1. Laat al het DNS-verkeer via één resolver lopen. Stel in je netwerk één DNS-server in, je eigen of een die je bewust kiest, en blokkeer in je firewall uitgaand verkeer op poort 53 (UDP en TCP) en poort 853 (DNS over TLS) naar alle andere servers. Dan komt alles langs één punt dat je kunt loggen en filteren, en kan malware geen eigen DNS-server buiten je netwerk aanspreken.
2. Gebruik een DNS-filter dat kwaadaardige domeinen blokkeert (protective DNS). Zakelijke diensten herkennen ook tunnels: Cloudflare Gateway heeft een beveiligingscategorie DNS Tunneling en Cisco Umbrella een categorie DNS Tunneling VPN, die je zelf aanzet. Voor een klein kantoor of thuis is een filterende publieke DNS-server zoals Quad9 een goede eerste stap: die blokkeert bekende malwaredomeinen, al herkent hij niet elke tunnel. Welke diensten er zijn en hoe je ze instelt, lees je in publieke DNS-servers vs die van je provider.
3. Regel DNS over HTTPS. Browsers en apps kunnen DNS versleuteld via HTTPS versturen (DoH). Dat beschermt je privacy, maar gaat langs je eigen resolver heen, en malware gebruikt het ook om DNS-verkeer te verbergen. Op beheerde computers stel je dit in met een beleid: in Chrome en Edge met DnsOverHttpsMode (uit, of alleen naar jouw resolver met DnsOverHttpsTemplates), in Firefox met het beleid DNSOverHTTPS.
4. Bewaar je DNS-logs en kijk ze regelmatig na, of laat je filterdienst een melding sturen bij verdachte domeinen.
5. Voorkom de besmetting. Een tunnel voor een aanval begint met malware op een apparaat of server. Houd systemen, websites en plugins bij, gebruik tweefactorauthenticatie en installeer beveiligingssoftware op je computers. Voor een WordPress-site lees je in WordPress updaten hoe je dat veilig doet.

DNS-tunneling en andere DNS-aanvallen

DNS-tunneling wordt vaak verward met andere aanvallen op DNS. Het verschil: bij tunneling gebruikt een aanvaller DNS als verborgen kanaal, bij de andere aanvallen is DNS zelf het doelwit.

DNSSEC beschermt dus tegen vervalste antwoorden, maar niet tegen tunneling: een aanvaller kan zijn eigen domein net zo goed ondertekenen.

Wat LJPc hosting hierin voor je regelt

DNS-tunneling speelt zich vooral af in het netwerk waar een besmet apparaat staat, zoals je kantoor- of thuisnetwerk. Voor je website en je domein bij LJPc hosting regelen we dit:

• Elke dag een malwarescan van je website. We scannen de websites op onze hostingservers dagelijks. Vinden we mogelijk schadelijke bestanden, dan krijg je een mail met de gevonden bestanden en het type malware dat we vermoeden. Zo ben je er snel bij als er iets op je website staat dat er niet hoort. In het klantenportaal kies je onder Mijn account > Meldingen, bij Malware-meldingen, naar welke e-mailadressen die melding gaat.
• DNSSEC automatisch voor domeinen die bij ons zijn geregistreerd en onze nameservers gebruiken. Zo zijn bezoekers met een controlerende resolver beschermd tegen vervalste antwoorden.
• Meekijken bij een vermoeden. Zie je verdacht DNS-verkeer dat naar je website of server bij ons lijkt te wijzen, maak dan een supportticket aan. Dan zoeken we het met je uit.

Vermoed je DNS-tunneling? Zo pak je het aan

1. Haal het apparaat dat de verdachte vragen stelt van het netwerk: kabel eruit en wifi uit, zodat er niets meer naar buiten gaat.
2. Blokkeer het domein op je resolver of in je DNS-filter, zodat andere apparaten het ook niet meer bereiken.
3. Laat het apparaat onderzoeken en opschonen door je IT-beheerder of een beveiligingsspecialist. Ga ervan uit dat wachtwoorden die op dat apparaat zijn gebruikt bekend zijn, en wijzig ze vanaf een schoon apparaat.
4. Gaat het om je website? Zet een schone back-up terug of laat de site opschonen, en wijzig daarna alle wachtwoorden die bij de site horen. Hoe je een back-up terugzet, lees je in back-up website maken.
5. Zijn er persoonsgegevens weggelekt? Dan is het mogelijk een datalek. Als organisatie meld je een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de mensen om wie het gaat. Leg het in elk geval vast in je eigen register van datalekken.