Puede que no lo sepas, pero cada vez que abres una web o haces clic en un enlace, estás dejando un rastro. Y ese rastro puede ser usado para seguirte la pista sin que te enteres. Hay una técnica muy sencilla, basada en el DNS, que los expertos en ciberseguridad utilizan para comprobar si están siendo rastreados sin permiso. Y no, no necesitas ser técnico para entender cómo funciona. Te lo cuento paso a paso.
A veces creemos que navegar por internet es algo privado, pero la verdad es que no siempre sabemos quién está al otro lado observando. Es posible detectar ciertos tipos de rastreo y comunicación maliciosa analizando un aspecto técnico concreto de la conexión a Internet: las consultas DNS. Aunque el concepto de análisis DNS pueda parecer complejo, los principios básicos para detectar anomalías son accesibles para usuarios con interés en la seguridad de su red. En este artículo te voy a contar un truco sencillo, usado por expertos, que te puede abrir los ojos… y proteger tu conexión. Merece la pena conocerlo.
Qué es esto del DNS y por qué puede delatar a quien te espía
Aunque suene complicado, el DNS es solo el sistema que traduce las direcciones web que escribimos (como redeszone.net) en números que los ordenadores entienden (las famosas IPs). Es algo que pasa en segundo plano cada vez que usamos Internet. Y precisamente porque es tan común y pasa tan desapercibido, se ha convertido en un canal perfecto para colar cosas sin levantar sospechas.
Lo que hacen algunos atacantes es aprovechar este sistema para colar comandos o sacar información codificada sin que lo notemos. ¿Cómo? A través de algo que se llama tunelización DNS. Es una forma de esconder datos dentro de las propias consultas DNS. Es decir, una petición que parece inocente (como si se estuviera pidiendo la IP de una web) en realidad puede llevar información oculta, como tu ubicación, tu dirección IP, e incluso qué mensaje has abierto en un correo de phishing.
Esta técnica no es teórica. Según un informe publicado por la Unidad 42 de Palo Alto Networks el 13 de mayo de 2024, se identificaron campañas activas que explotaban este método. Las más notables fueron:
- TrkCdn: Utilizada para rastrear la apertura de más de 27.000 correos de phishing.
- SecShow: Empleada para escanear más de 1.500 redes corporativas en busca de vulnerabilidades.
Estos hallazgos, demuestran que la tunelización DNS es un vector de ataque activo y sigiloso
¿Cómo puedes saber si te están siguiendo así?
Aquí es donde entra el truco que usan los expertos. Y no te preocupes, no necesitas instalar nada raro ni ser un hacker para ponerlo en práctica. El truco consiste en analizar las consultas DNS que salen desde tu red. Es decir, ver a qué servidores DNS estás preguntando por direcciones, y si esas preguntas tienen sentido. Si de repente ves que tu ordenador está haciendo consultas muy largas, llenas de letras y números raros, a dominios que no conoces, es muy probable que algo no vaya bien.
Guía Práctica: Cómo Analizar tus Consultas DNS Paso a Paso
Para detectar anomalías, no basta con la teoría. Aquí tienes un método práctico usando herramientas comunes:
Captura de Tráfico con Wireshark (Windows/macOS/Linux)
- Descarga e instala Wireshark.
- Ábrelo y selecciona tu interfaz de red activa (Ej: Wi-Fi o Ethernet).
- En la barra de filtros, escribe
dnsy presiona Enter. Esto aislará solo el tráfico DNS. - Navega por algunas páginas y observa las peticiones que aparecen en tiempo real. Fíjate en la columna ‘Info’ en busca de nombres de dominio extraños o muy largos.
Análisis de Patrones Sospechosos
Busca las señales de alerta que detallamos en la siguiente tabla. La presencia de una o varias de estas señales justifica una investigación más a fondo.
| Señal Detectada | Ejemplo de Patrón | Interpretación del Riesgo |
|---|---|---|
| Consultas a dominios con cadenas alfanuméricas largas y sin sentido | a1b2c3d4e5f6.rastreador-malicioso.com | Posible exfiltración de datos o comunicación con un servidor de Comando y Control (C2) mediante tunelización DNS. |
| Consultas muy frecuentes y repetitivas al mismo dominio desconocido | Cientos de peticiones por hora a updates.network-cdn.info | Un proceso en segundo plano (malware) mantiene una comunicación constante con el atacante. |
| Actividad DNS en horarios de inactividad (ej. madrugada) | Peticiones a las 03:00 AM cuando el equipo no está en uso | Indicio de un proceso automatizado malicioso que se ejecuta cuando el usuario no está presente. |
| Uso de dominios registrados muy recientemente (verificable con WHOIS) | Consultas a un dominio creado hace menos de 24 horas | Los atacantes usan infraestructura de 'usar y tirar' para evadir listas negras y dificultar el rastreo. |
Por ejemplo:
- Si ves peticiones tipo maliciosodominio.com, es posible que se estén colando datos codificados.
- Si siempre estás consultando el mismo dominio desconocido, muchas veces al día, puede que haya un software dentro de tu red hablando con el atacante sin que tú lo sepas.
- También hay señales más sutiles, como peticiones justo cuando en teoría no debería haber tráfico (de madrugada, por ejemplo), o direcciones DNS que han sido registradas hace muy poco.
Una forma fácil de ver a qué DNS estás conectado es usar herramientas como DNS Leak Test o What’s my DNS Server. Con ellas puedes saber si estás usando servidores de confianza o si alguien ha metido mano en tu configuración.
Qué hacer si sospechas que algo no cuadra
Si al revisar tus consultas DNS ves cosas raras, no lo dejes pasar. Aquí tienes algunas recomendaciones prácticas:
- Usa siempre servidores DNS de confianza, como los de Cloudflare (1.1.1.1) o Google (8.8.8.8).
- Bloquea las consultas DNS a servidores externos desde tu router, y redirígelas siempre a un único punto de control.
- Evita routers del proveedor de Internet si no te dan acceso completo a la configuración. Mejor tener uno propio y bien configurado.
- Activa sistemas de detección de anomalías si tienes conocimientos más avanzados o usas una red de empresa.
- Y por supuesto, mantén tu antivirus actualizado, porque muchas veces es un malware el que empieza todo este lío.
| Medida | Detalle Técnico y Acción | Beneficio Directo de Seguridad |
|---|---|---|
| Usar Servidores DNS de Confianza | Configura en tu router y dispositivos los DNS de Cloudflare (1.1.1.1, 1.0.0.1) o Google (8.8.8.8, 8.8.4.4). | Evita que tu tráfico sea interceptado o redirigido por servidores maliciosos. |
| Bloquear Consultas DNS Externas (Avanzado) | Crea una regla en el firewall de tu router para forzar que todo el tráfico del puerto 53 (DNS) se dirija a tus servidores DNS de confianza. | Impide que un dispositivo infectado en tu red pueda contactar con servidores DNS externos controlados por atacantes. |
| Utilizar un Router Propio | Sustituye el router de tu ISP por uno que te ofrezca control total sobre la configuración de red y DNS. | Ganas visibilidad y control, eliminando posibles 'puertas traseras' o configuraciones inseguras del ISP. |
| Mantener Software de Seguridad Actualizado | Asegúrate de que tu antivirus y antimalware tienen las últimas firmas de detección y están activos. | Es la primera línea de defensa para detectar y eliminar el malware que origina estas conexiones anómalas. |
Este tipo de ataques no son los más comunes, pero justo por eso son tan peligrosos. Porque se cuelan sin hacer ruido. Por suerte, con un poco de atención, tú también puedes saber si están jugando contigo.
Aunque pueda sonar a técnica avanzada reservada para expertos en ciberseguridad, lo cierto es que este truco del DNS es algo que cualquiera puede usar para detectar si hay algo raro en su conexión. En un mundo donde cada clic puede ser rastreado, tener este pequeño truco bajo la manga puede marcar la diferencia entre navegar tranquilos… o ser espiados sin darnos cuenta. Yo, desde luego, lo reviso cada cierto tiempo, y te aseguro que vale la pena.