Frameworks de C2: Cobalt Strike y Sliver

Un framework de Command and Control (C2) es una plataforma para gestionar sistemas comprometidos durante operaciones de red team. Proporciona canales de comunicación entre el operador y los implantes, gestión de tareas, módulos de postexplotación y registro de actividad.

Cobalt Strike es el framework C2 comercial más utilizado. Características:

• Perfiles Malleable C2 (personalizan el tráfico de red para mezclarse con el tráfico legítimo)
• Implante Beacon (comunicaciones HTTP, HTTPS, DNS y SMB)
• Servidor de equipo para la colaboración entre varios operadores
• Aggressor Script para automatización

Los actores de amenazas reales lo utilizan indebidamente con frecuencia; reconózcalo en investigaciones de respuesta a incidentes.

La carga útil Beacon admite:

• Intervalos de espera con jitter (evitan la detección basada en el tiempo)
• Comunicaciones cifradas
• Ejecución en memoria (sin archivos en el disco)
• Proxy SOCKS a través de hosts comprometidos

Sliver (BishopFox) es un framework C2 gratuito y de código abierto:

• Admite canales mTLS, HTTP/S, DNS y WireGuard
• Implants generados en Go (multiplataforma)
• Ofuscación integrada de implants (Garble)
• Compatibilidad con múltiples operadores

El Meterpreter de Metasploit es un C2 básico, pero los frameworks dedicados como Cobalt Strike y Sliver ofrecen:

• Mayor seguridad operativa (protocolos adaptables/personalizados)
• Compatibilidad con múltiples operadores
• Post-explotación más sofisticada
• Registro y generación de informes para operaciones de red team

Seguridad operativa para la infraestructura C2:

• Use redirectores (nginx) para ocultar el servidor C2 real
• Domain fronting (enrutar a través de una CDN para ocultar el dominio C2)
• Obtenga dominios con apariencia legítima (clasificados por los filtros web)
• Use infraestructura independiente para cada operación

Los equipos blue team detectan C2 mediante:

• Cadenas User-Agent o encabezados HTTP inusuales
• Intervalos periódicos de beacon (conexiones salientes regulares)
• Consultas DNS a dominios recién registrados o con baja reputación
• Reglas de YARA que coinciden con firmas de Cobalt Strike/Sliver
• Análisis de memoria en busca de patrones conocidos de implants

Capacidades habituales de post-explotación de los C2:

• Extracción de credenciales (integración con Mimikatz)
• Movimiento lateral (WMI, PSExec, SMB)
• Persistencia (tareas programadas, claves del registro)
• Capturas de pantalla, keylogger, explorador de archivos
• Pivoting a través de hosts comprometidos

Los perfiles Malleable C2 de Cobalt Strike personalizan el tráfico de beacon para imitar aplicaciones legítimas (Slack, Teams, OneDrive). Las defensas de red buscan coincidencias con las firmas de los perfiles predeterminados; los perfiles personalizados evitan esas firmas.

Los frameworks C2 son herramientas legítimas de pruebas de penetración que requieren una autorización explícita por escrito. Usar frameworks C2 contra objetivos no autorizados constituye un delito federal. Asegúrese de que las reglas de intervención definan claramente:

• El alcance de los sistemas comprometidos permitidos
• Las restricciones sobre la exfiltración de datos
• Los objetivos fuera del alcance

Los equipos de respuesta a incidentes buscan:

• Relaciones inusuales entre procesos padre e hijo (Word iniciando PowerShell)
• LOLBins que establecen conexiones de red externas
• Comandos de PowerShell codificados en los registros de eventos
• Tareas programadas o servicios con nombres inusuales
• Marcas de agua de Cobalt Strike en memoria (Team ID en Beacon)

¿Qué función de Cobalt Strike permite a los operadores personalizar el tráfico de red de beacon para imitar servicios legítimos y evadir la detección?

Los frameworks C2 (Cobalt Strike, Sliver) gestionan implants en sistemas comprometidos mediante canales cifrados, módulos de post-explotación y compatibilidad con múltiples operadores. Los perfiles Malleable C2 evitan la detección al imitar tráfico legítimo. Detección: intervalos de beacon, DNS inusual y firmas de YARA. Siempre se requiere autorización por escrito; el uso indebido es un delito.