Cadres C2 : Cobalt Strike et Sliver

Une infrastructure de commande et de contrôle (C2) est une plateforme permettant de gérer des systèmes compromis lors d'opérations menées par une équipe rouge. Elle fournit des canaux de communication entre l'opérateur et les implants, la gestion des tâches, des modules de post-exploitation et la journalisation.

Cobalt Strike est l'infrastructure C2 commerciale la plus répandue. Fonctionnalités :

• Profils C2 malléables (personnalisation du trafic réseau pour se fondre dans le trafic légitime)
• Implant Beacon (communications HTTP, HTTPS, DNS, SMB)
• Serveur d'équipe pour la collaboration entre plusieurs opérateurs
• Aggressor Script pour l'automatisation

Il est fréquemment utilisé à mauvais escient par de véritables acteurs malveillants — sachez le reconnaître dans les investigations IR.

La charge utile Beacon prend en charge :

• Intervalles de veille avec gigue (pour échapper à la détection fondée sur le temps)
• Communications chiffrées
• Exécution en mémoire (aucun fichier sur le disque)
• Proxy SOCKS via des hôtes compromis

Sliver (BishopFox) est un framework C2 gratuit et open source :

• Prend en charge les canaux mTLS, HTTP/S, DNS et WireGuard
• Implants générés en Go (multiplateformes)
• Obfuscation intégrée des implants (Garble)
• Prise en charge de plusieurs opérateurs

Le Meterpreter de Metasploit est un C2 basique, mais les frameworks dédiés comme Cobalt Strike et Sliver offrent :

• Une meilleure sécurité opérationnelle (protocoles malléables et personnalisés)
• La prise en charge de plusieurs opérateurs
• Des fonctionnalités de post-exploitation plus sophistiquées
• La journalisation et la création de rapports pour les missions d’équipe rouge

Sécurité opérationnelle de l’infrastructure C2 :

• Utilisez des redirecteurs (nginx) pour masquer le véritable serveur C2
• Masquage de domaine (acheminez le trafic via un CDN pour masquer le domaine C2)
• Obtenez des domaines à l’apparence légitime (classés comme fiables par les filtres web)
• Utilisez une infrastructure distincte pour chaque mission

Les équipes de défense détectent les C2 grâce aux éléments suivants :

• Chaînes d’agent utilisateur HTTP ou en-têtes inhabituels
• Intervalles réguliers entre les balises (connexions sortantes périodiques)
• Requêtes DNS vers des domaines récemment enregistrés ou de faible réputation
• Règles Yara correspondant aux signatures de Cobalt Strike ou de Sliver
• Analyse de la mémoire à la recherche de schémas d’implants connus

Fonctionnalités courantes de post-exploitation des C2 :

• Extraction d’identifiants (intégration de Mimikatz)
• Déplacement latéral (WMI, PSExec, SMB)
• Persistance (tâches planifiées, clés de registre)
• Capture d’écran, enregistreur de frappes et explorateur de fichiers
• Pivotement via des hôtes compromis

Les profils C2 malléables de Cobalt Strike personnalisent le trafic des balises pour imiter des applications légitimes (Slack, Teams, OneDrive). Les défenses réseau font correspondre les signatures aux profils par défaut ; les profils personnalisés échappent à ces signatures.

Les frameworks C2 sont des outils légitimes de test d’intrusion qui nécessitent une autorisation écrite explicite. Utiliser des frameworks C2 contre des cibles non autorisées constitue un crime fédéral. Veillez à ce que les règles d’engagement définissent clairement :

• Le périmètre des systèmes compromis autorisés
• Les restrictions concernant l’exfiltration de données
• Les cibles hors périmètre

Les équipes d’intervention (IR) recherchent :

• Des relations inhabituelles entre processus parent et enfant (Word lançant PowerShell)
• Des LOLBins établissant des connexions réseau externes
• Des commandes PowerShell encodées dans les journaux d’événements
• Des tâches planifiées ou des services portant des noms inhabituels
• Des filigranes Cobalt Strike en mémoire (identifiant d’équipe dans Beacon)

Quelle fonctionnalité de Cobalt Strike permet aux opérateurs de personnaliser le trafic réseau des balises pour imiter des services légitimes et éviter la détection ?

Les frameworks C2 (Cobalt Strike, Sliver) gèrent les implants sur des systèmes compromis au moyen de canaux chiffrés, de modules de post-exploitation et de la prise en charge de plusieurs opérateurs. Les profils C2 malléables évitent la détection en imitant un trafic légitime. Détection : intervalles entre les balises, DNS inhabituels et signatures Yara. Une autorisation écrite est toujours requise : tout usage abusif est un acte criminel.