C2 über HTTPS und DNS-Tunneling

Command and Control (C2) ist der Kanal, über den Angreifer Befehle an kompromittierte Systeme senden und Daten empfangen. Modernes C2 tarnt sich als legitimer Datenverkehr, um einer Erkennung zu entgehen. Dabei werden Protokolle (HTTPS, DNS) und Infrastrukturen (CDNs, Cloud-Dienste) verwendet, die sich nur schwer blockieren lassen, ohne legitime Dienste ebenfalls zu beeinträchtigen.

HTTPS-C2 kapselt Befehle und Antworten in TLS-verschlüsseltem HTTP-Datenverkehr. Der Beacon fragt regelmäßig mit GET-Anfragen einen C2-Server ab; die Befehle werden in HTTP-Antworten zurückgegeben. Jitter (eine zufällige Variation des Beacon-Intervalls) verhindert das regelmäßige Zeitmuster, an dem synchrones Beaconing erkannt wird.

Domain Fronting missbraucht das Routing von CDNs: Das TLS-SNI-Feld und der HTTP-Host-Header unterscheiden sich. Der TLS-Handshake wird an eine legitime CDN-Domain gesendet und passiert dadurch die Inspektion, aber der HTTP-Host-Header leitet die Anfrage an ein bösartiges Backend weiter. Cloud-Anbieter haben diese Technik weitgehend blockiert.

JA3 bildet die Parameter des TLS-ClientHello (Verschlüsselungssammlungen, Erweiterungen, elliptische Kurven) als Hash ab. C2-Clients von Schadsoftware weisen unabhängig von Änderungen am Zertifikat konsistente JA3-Hashes auf. Netzwerksicherheitstools können einen Alarm auslösen, wenn bekannte JA3-Hashes von Schadsoftware im Datenverkehr auftauchen.

Mit Cobalt Strikes Malleable C2 können Betreiber jeden Aspekt des Beacon-Datenverkehrs anpassen, um legitime Anwendungen (Amazon, Twitter, Google analytics) nachzuahmen. Der Datenverkehr erscheint wie normale Anwendungskommunikation und setzt dadurch die signaturbasierte Erkennung der standardmäßigen Cobalt-Strike-Profile außer Kraft.

DNS-Tunneling kodiert Daten in DNS-Abfragen und -Antworten. Befehle werden in DNS-Abfrage-Hostnamen kodiert (commands.encoded-data.c2domain.com). Antworten übertragen Daten in DNS-Record-Feldern (TXT, A, CNAME). Dnscat2 und Iodine sind gängige DNS-Tunneling-Tools.

Typische Anzeichen für DNS-Tunneling sind Subdomain-Labels mit hoher Entropie (base64/hex-kodierte Daten), eine ungewöhnlich hohe DNS-Abfragerate von einem einzelnen Host, DNS-Abfragen mit ungewöhnlich langen Namen, Abfragen nach TXT- oder NULL-Records (im legitimen Datenverkehr unüblich) sowie Abfragen an kürzlich registrierte Domains.

DGA-Schadsoftware generiert täglich Hunderte pseudozufällige Domains anhand eines Seed-Werts. Nur eine Domain pro Tag wird vom Angreifer registriert. Die Verteidiger können nicht alle generierten Domains blockieren. Stattdessen müssen sie das DGA-Muster selbst erkennen und DNS-Sinkholes oder eine auf maschinellem Lernen basierende DGA-Erkennung einsetzen.

DNS-over-HTTPS (DoH) kapselt DNS-Abfragen in verschlüsseltem HTTPS-Datenverkehr zu Google, Cloudflare oder einem bösartigen DoH-Resolver. Die herkömmliche DNS-Inspektion auf Netzwerkebene kann diese Abfragen nicht einsehen. Für die Erkennung ist eine Überwachung der DNS-Auflösung auf Endpunktebene über EDR oder die Erzwingung eines vertrauenswürdigen DoH-Resolvers erforderlich.

Erkennen Sie Beaconing durch die Analyse von Verbindungsfrequenz (regelmäßige, periodische Verbindungen zum selben Ziel), Konsistenz des Datenvolumens (ähnliche Nutzlastgrößen bei jedem Beacon), Mustern der Verbindungsdauer und der Tageszeit (Beaconing läuft im Gegensatz zum Datenverkehr menschlicher Benutzer rund um die Uhr weiter). SIEM-Analysen automatisieren diese Erkennung.

Passives DNS, Certificate Transparency und WHOIS-Analysen geben Aufschluss über C2-Infrastrukturen. Neu registrierte Domains, Let's-Encrypt-Zertifikate auf neuen IPs und Hosting bei bulletproof-Anbietern sind Indikatoren. Threat-Intelligence-Plattformen verfolgen bekannte C2-Infrastrukturen, um sie proaktiv zu blockieren.

Was ist ein Domain Generation Algorithm (DGA), und warum erschwert er die Blockierung von C2?

APTs verbergen C2-Datenverkehr durch HTTPS-Beaconing mit Jitter, DNS-Tunneling, DoH, Domain Generation Algorithms und CDN-basierte Infrastrukturen. Für die Erkennung sind JA3-Fingerprinting, die Analyse von DNS-Anomalien, die Erkennung von Beaconing-Mustern und Threat Intelligence zu bekannten C2-Infrastrukturen erforderlich – nicht nur das Blockieren bekanntermaßen schädlicher IPs.