C2 (command and control)

C2 (command and control) to kanał łączności i serwery, przez które atakujący wydaje polecenia przejętym maszynom i odbiera od nich dane. MITRE ATT&CK opisuje taktykę Command and Control jednym zdaniem: przeciwnik próbuje komunikować się z przejętymi systemami, aby je kontrolować ^[1]. CERT Polska w usłudze n6 nazywa taką infrastrukturę serwerami zarządzającymi botnetami ^[2]. W starszych tekstach spotyka się zapis C&C, na przykład w analizie Ramnita z 2017 roku ^[3].

Jak działa

Złośliwe oprogramowanie (malware) po infekcji łączy się z serwerem C2, zgłasza swoją obecność i pyta o zadania. Serwer odpowiada poleceniami: pobierz plik, uruchom moduł, wyślij zebrane dane. Kanał działa w obie strony, więc służy też do eksfiltracji danych. Wiele przejętych maszyn podłączonych do jednego C2 tworzy botnet.

RYS. 1Cykl pracy bota z serwerem C2

Przeciwnik stara się, by ten ruch nie wyróżniał się w sieci. MITRE opisuje używanie protokołów warstwy aplikacji, na przykład protokołów WWW, poczty albo DNS, po to, by wmieszać się w zwykły ruch i ominąć filtrowanie ^[4]. Ramnit łączył się z serwerami przez port 443, ale nie używał standardowego HTTPS, tylko własnego protokołu szyfrowanego algorytmem RC4 ^[3]. Klucz i identyfikator botnetu były zapisane w próbce i zakodowane operacją XOR ^[3]. Port 443 kojarzy się z HTTPS, więc samo połączenie na ten port nie wyróżnia się w statystykach ruchu. Dopiero analiza treści albo zachowania procesu pokazuje, że to nie jest zwykła przeglądarka.

MITRE dzieli protokoły warstwy aplikacji używane do dowodzenia na pięć grup: protokoły WWW, protokoły przesyłania plików, protokoły pocztowe, DNS oraz protokoły publikuj-subskrybuj ^[4]. Kanał C2 może więc wyglądać jak zwykłe zapytania do strony, wysyłka poczty albo rozwiązywanie nazw domen.

Techniki ukrywania kanału

MITRE ATT&CK wymienia w taktyce Command and Control 18 technik ^[1]. Kilka z nich widać w praktyce najczęściej.

Algorytm generowania domen utrudnia obronę, bo według MITRE obrońcom dużo trudniej zablokować, śledzić albo przejąć kanał, gdy złośliwe oprogramowanie może sprawdzać tysiące domen ^[5]. Ramnit tworzył taką listę prostym generatorem liczb pseudolosowych ^[3].

Pozostałe techniki z listy MITRE opisują zapas i warstwy kanału. Przeciwnik może mieć kanały zapasowe na wypadek utraty głównego, dzielić dowodzenie na kilka etapów, używać niestandardowych portów, tunelować jeden protokół w drugim albo przekazywać dane przez legalne usługi internetowe ^[1]. Ta sama taktyka obejmuje sprowadzanie narzędzi do przejętego systemu i używanie legalnych narzędzi zdalnego dostępu ^[1]. Dlatego zablokowanie jednego adresu rzadko kończy sprawę: bot może znać kolejne.

W WordPressie

Strony WordPress występują po obu stronach kanału C2.

Przejęta strona jako infrastruktura. MITRE zauważa, że zamiast kupować własne serwery, przeciwnicy przejmują cudze i wykorzystują je między innymi do dowodzenia oraz do ataków typu wodopój ^[6]. Na serwerze zostaje wtedy webshell albo tylna furtka (backdoor), przez którą napastnik wraca po polecenia.

Strona jako ofiara zdalnie sterowanego skryptu. W październiku 2023 roku Guardio Labs opisało kampanię ClearFake i technikę EtherHiding ^[7]. Strony wpadały przez podatne wtyczki, nieaktualne instalacje albo skradzione dane logowania ^[7]. Napastnicy wstrzykiwali do nich skrypt, który pobierał kolejny etap kodu z kontraktu w sieci Binance Smart Chain i wykonywał go ^[7]. Guardio podkreśla, że wdrożonego kontraktu Binance nie może po prostu wyłączyć, więc blokowanie domen przestaje wystarczać ^[7]. Odwiedzającym pokazywano fałszywą aktualizację przeglądarki, prowadzącą do infostealerów ^[7]. To sterowanie z zewnątrz treścią strony, której właściciel nie widzi w panelu.

Jak się bronić

Obrona polega na wykryciu i przerwaniu łączności. Znane adresy serwerów C2 trafiają do list wskaźników kompromitacji (IoC). CERT Polska w usłudze n6 przekazuje każdej organizacji wszystkie zdarzenia z kategorii Command and Control i Phishing, niezależnie od jej filtrów ^[2]. n6 przetwarza kilka milionów zdarzeń dziennie i filtruje je według adresów IP i domen wskazanych przez uczestnika ^[2]. Źródłem danych są źródła publiczne, organizacje non-profit, firmy komercyjne i systemy własne CERT Polska, w tym sinkhole, MWDB, Artemis i Lista Ostrzeżeń ^[2]. Sinkhole to przejęte domeny C2, na które zamiast do przestępców zgłaszają się zainfekowane maszyny; ich adresy IP wskazują właścicieli urządzeń, których trzeba powiadomić.

Na poziomie serwera WWW warto:

• ograniczyć połączenia wychodzące z serwera do znanych celów, na przykład repozytoriów aktualizacji;
• obserwować ruch DNS i nietypowe połączenia wychodzące z procesów PHP;
• stosować monitorowanie integralności plików, by wykryć wstrzyknięty skrypt;
• po wykryciu kanału potraktować stronę jako przejętą i przeprowadzić czyszczenie przejętej strony.

Historia i przykłady

Między 27 a 29 maja 2024 roku operacja Endgame, koordynowana przez Europol, uderzyła w infrastrukturę dropperów IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee i Trickbot ^[8]. Wyłączono lub zakłócono ponad 100 serwerów, a ponad 2 000 domen przeszło pod kontrolę organów ścigania ^[8]. Europol opisał SystemBC jako narzędzie do anonimowej komunikacji między zainfekowanym systemem a serwerami C2 ^[8]. Przejęcie domen i serwerów odcina botnet od dowodzenia. Europol ustalił też, że jeden z głównych podejrzanych zarobił co najmniej 69 mln euro w kryptowalutach na wynajmowaniu infrastruktury przestępczej do ataków ransomware ^[8]. Infrastruktura C2 jest więc towarem, a nie tylko narzędziem jednej grupy.