ヒント
ヒント 1見る
dns_queries.log を（送信元IP, ベースドメイン）ごとに集計し、突出して問い合わせ回数の多い組を探します。送信元IPも攻撃者のドメインも、起動のたびに変わります
ヒント 2見る
トンネルを行っているのは、1台の内部ホストが1つのドメインに対して送る問い合わせです。そのドメインへの問い合わせだけを取り出し、サブドメインの先頭の2つのラベル（3桁の連番と16進数）に注目しましょう
ヒント 3見る
同じ（連番, 16進）の組は再送で何度も出ます。重複を除いて連番の順に並べ（ログの順は連番順ではありません）、16進数を連結して hex デコードするとフラグになります