ICMP Tunnel — Exfiltration via ping

Principe

Le tunneling ICMP cache des données dans le champ data des paquets ICMP echo (ping), souvent autorisés par les firewalls. Permet l'exfiltration ou un canal C2 là où le trafic TCP/UDP sortant est filtré.

Outils & analyse

# Établir un tunnel
ptunnel-ng / icmptunnel / icmpsh
hans (tunnel IP sur ICMP)

# Analyse d une capture (forensic)
tshark -r capture.pcap -Y 'icmp' -T fields -e data
# extraire et reconstruire le payload caché des echo request

Détection

Pings au payload anormalement grand ou non standard (pas le motif abcdef... habituel), volume ICMP élevé, ou tailles variables. Les IDS et l'inspection du contenu ICMP repèrent ces anomalies.