C2-Frameworks: Cobalt Strike und Sliver

Ein Command-and-Control-(C2)-Framework ist eine Plattform zur Verwaltung kompromittierter Systeme während Red-Team-Operationen. Sie stellt Kommunikationskanäle zwischen dem Operator und Implantaten, Aufgabenverwaltung, Post-Exploitation-Module und Protokollierung bereit.

Cobalt Strike ist das kommerzielle C2-Framework mit der größten Verbreitung. Funktionen:

• Malleable C2 profiles (Netzwerkverkehr anpassen, damit er sich unauffällig einfügt)
• Beacon implant (Kommunikation über HTTP, HTTPS, DNS und SMB)
• Team server für die Zusammenarbeit mehrerer Operatoren
• Aggressor Script zur Automatisierung

Es wird von echten Bedrohungsakteuren häufig missbraucht – erkennen Sie es bei IR-Untersuchungen.

Die Beacon-Nutzlast unterstützt:

• Sleep-Intervalle mit Jitter (um timingbasierte Erkennung zu umgehen)
• Verschlüsselte Kommunikation
• Ausführung im Speicher (keine Dateien auf der Festplatte)
• SOCKS-Proxy über kompromittierte Hosts

Sliver (BishopFox) ist ein kostenloses Open-Source-C2-Framework:

• Unterstützt mTLS-, HTTP/S-, DNS- und WireGuard-Kanäle
• Implants werden in Go generiert (plattformübergreifend)
• Integrierte Verschleierung der Implants (Garble)
• Unterstützung mehrerer Operatoren

Metasploits Meterpreter ist ein einfaches C2, aber dedizierte Frameworks wie Cobalt Strike und Sliver bieten:

• Bessere Operationssicherheit (anpassbare/eigene Protokolle)
• Unterstützung mehrerer Operatoren
• Anspruchsvollere Post-Exploitation-Funktionen
• Protokollierung und Berichterstellung für Red-Team-Einsätze

Operationssicherheit für die C2-Infrastruktur:

• Verwenden Sie Redirectors (nginx), um den eigentlichen C2-Server zu verbergen
• Domain Fronting (Weiterleitung über ein CDN, um die C2-Domain zu verbergen)
• Beschaffen Sie legitim wirkende Domains (die von Webfiltern kategorisiert werden)
• Verwenden Sie für jeden Einsatz eine separate Infrastruktur

Blue Teams erkennen C2 anhand von:

• Ungewöhnlichen HTTP-User-Agent-Strings oder -Headern
• Periodischen Beacon-Intervallen (regelmäßigen ausgehenden Verbindungen)
• DNS-Abfragen an neu registrierte Domains oder Domains mit geringer Reputation
• Yara-Regeln, die Signaturen von Cobalt Strike oder Sliver abgleichen
• Scans des Arbeitsspeichers nach bekannten Implant-Mustern

Häufige C2-Funktionen für die Post-Exploitation:

• Auslesen von Anmeldedaten (Mimikatz-Integration)
• Laterale Bewegung (WMI, PSExec, SMB)
• Persistenz (geplante Tasks, Registrierungsschlüssel)
• Screenshots, Keylogger, Dateibrowser
• Pivoting über kompromittierte Hosts

Die anpassbaren C2-Profile von Cobalt Strike konfigurieren den Beacon-Datenverkehr so, dass er legitime Anwendungen (Slack, Teams, OneDrive) imitiert. Netzwerkabwehrsysteme führen einen Signaturabgleich mit Standardprofilen durch – benutzerdefinierte Profile umgehen diese Signaturen.

C2-Frameworks sind legitime Tools für Penetrationstests, für deren Einsatz eine ausdrückliche schriftliche Genehmigung erforderlich ist. Der Einsatz von C2-Frameworks gegen nicht autorisierte Ziele ist eine Straftat auf Bundesebene. Stellen Sie sicher, dass die Einsatzregeln Folgendes eindeutig festlegen:

• Umfang der kompromittierten Systeme, auf die zugegriffen werden darf
• Beschränkungen für die Datenexfiltration
• Ziele außerhalb des vereinbarten Umfangs

Incident-Response-Teams suchen nach:

• Ungewöhnlichen Beziehungen zwischen übergeordneten und untergeordneten Prozessen (Word startet PowerShell)
• LOLBins, die externe Netzwerkverbindungen herstellen
• Codierten PowerShell-Befehlen in Ereignisprotokollen
• Geplanten Tasks oder Diensten mit ungewöhnlichen Namen
• Cobalt-Strike-Wasserzeichen im Arbeitsspeicher (Team ID im Beacon)

Welche Funktion von Cobalt Strike ermöglicht es Operatoren, den Beacon-Netzwerkdatenverkehr so anzupassen, dass er legitime Dienste imitiert und einer Erkennung entgeht?

C2-Frameworks (Cobalt Strike, Sliver) verwalten Implants auf kompromittierten Systemen über verschlüsselte Kanäle, Post-Exploitation-Module und Unterstützung mehrerer Operatoren. Anpassbare C2-Profile umgehen die Erkennung, indem sie legitimen Datenverkehr imitieren. Erkennung: Beacon-Intervalle, ungewöhnliche DNS-Abfragen, Yara-Signaturen. Eine schriftliche Genehmigung ist immer erforderlich – Missbrauch ist strafbar.