DNS C2 indica traffico di comando e controllo che utilizza il Domain Name System per la comunicazione tra il malware e un attaccante. Invece di inviare comandi attraverso canali web evidenti come HTTP o HTTPS, il malware nasconde i dati in query e risposte DNS, a volte codificando le istruzioni in sottodomini, record TXT o in lookup ripetuti verso domini controllati dall'attaccante.
Questo è importante perché il DNS di solito è consentito in uscita dalle reti e spesso riceve meno attenzione del traffico web. Questo lo rende un utile canale di fallback quando proxy, firewall o filtri dei contenuti bloccano altri canali. Gli analisti difensivi cercano segnali come hostname insolitamente lunghi o dall'aspetto casuale, tassi di query elevati, molti lookup falliti, tipi di record insoliti e schemi DNS che non corrispondono al normale comportamento degli utenti. Correlare i log del resolver con la telemetria degli endpoint può rivelare quale host sta generando il traffico e se il comportamento DNS supporta la persistenza del malware o la consegna di payload successivi.