C2 sur HTTPS et tunneling DNS

La commande et le contrôle (C2) sont le canal par lequel les attaquants envoient des commandes aux systèmes compromis et reçoivent des données. Le C2 moderne se confond avec le trafic légitime pour échapper à la détection, en utilisant des protocoles (HTTPS, DNS) et des infrastructures (CDN, services en nuage) difficiles à bloquer sans dommages collatéraux.

Le C2 sur HTTPS encapsule les commandes et les réponses dans du trafic HTTP chiffré par TLS. La balise interroge périodiquement un serveur C2 à l’aide de requêtes GET ; les commandes sont renvoyées dans les réponses HTTP. La variation aléatoire de l’intervalle entre les balises empêche la détection d’un schéma temporel régulier caractéristique de l’émission de balises synchrones.

La frontalisation de domaine exploite le routage des CDN : le champ SNI de TLS et l’en-tête Host HTTP diffèrent. La négociation TLS s’effectue auprès d’un domaine CDN légitime, ce qui permet de passer l’inspection, mais l’en-tête Host HTTP achemine la requête vers un serveur principal malveillant. Les fournisseurs de services en nuage ont en grande partie bloqué cette technique.

JA3 transforme les paramètres ClientHello de TLS (suites de chiffrement, extensions, courbes elliptiques) en une empreinte de hachage. Les clients C2 de logiciels malveillants conservent des empreintes JA3 constantes, quels que soient les changements de certificat. Les outils de sécurité réseau peuvent déclencher une alerte lorsque des empreintes JA3 associées à des logiciels malveillants connus apparaissent dans le trafic.

Le C2 malléable de Cobalt Strike permet aux opérateurs de personnaliser chaque aspect du trafic des balises afin d’imiter des applications légitimes (Amazon, Twitter, Google Analytics). Le trafic semble correspondre à une communication normale entre applications, ce qui déjoue la détection fondée sur les signatures des profils Cobalt Strike par défaut.

La tunnellisation DNS encode des données dans les requêtes et les réponses DNS. Les commandes sont encodées dans les noms d’hôte des requêtes DNS (commands.encoded-data.c2domain.com). Les réponses transportent des données dans les champs des enregistrements DNS (TXT, A, CNAME). Dnscat2 et Iodine sont des outils courants de tunnellisation DNS.

Les signatures de la tunnellisation DNS comprennent : des libellés de sous-domaines à entropie élevée (données encodées en base64 ou en hexadécimal), une fréquence exceptionnellement élevée de requêtes DNS provenant d’un seul hôte, des requêtes DNS comportant des noms inhabituellement longs, des requêtes de type d’enregistrement TXT ou NULL, peu courantes dans le trafic légitime, et des requêtes vers des domaines récemment enregistrés.

Les logiciels malveillants utilisant un DGA génèrent chaque jour des centaines de domaines pseudo-aléatoires à partir d’une valeur d’initialisation. L’attaquant n’enregistre qu’un seul domaine par jour. Les défenseurs ne peuvent pas bloquer tous les domaines générés : le blocage exige de détecter le schéma du DGA lui-même et d’utiliser des puits DNS ou une détection des DGA fondée sur l’apprentissage automatique.

Le DNS sur HTTPS (DoH) encapsule les requêtes DNS dans des communications HTTPS chiffrées vers Google, Cloudflare ou un résolveur DoH malveillant. L’inspection DNS traditionnelle au niveau du réseau ne peut pas voir ces requêtes. La détection exige de surveiller la résolution DNS au niveau des terminaux via EDR ou d’imposer l’utilisation d’un résolveur DoH approuvé.

Détectez l’émission de balises en analysant : la fréquence des connexions (connexions périodiques régulières vers la même destination), la régularité du volume de données (charges utiles de taille similaire à chaque balise), les schémas de durée des connexions et l’analyse de l’heure de la journée (l’émission de balises se poursuit 24 heures sur 24, 7 jours sur 7, contrairement au trafic généré par les utilisateurs humains). Les analyses SIEM automatisent cette détection.

Le DNS passif, la transparence des certificats et l’analyse WHOIS révèlent l’infrastructure C2. Les domaines nouvellement enregistrés, les certificats Let's Encrypt sur de nouvelles adresses IP et l’hébergement auprès de fournisseurs résistants aux retraits sont des indicateurs. Les plateformes de renseignement sur les menaces suivent l’infrastructure C2 connue afin de permettre un blocage préventif.

Les APT utilisent l’émission de balises HTTPS avec variation aléatoire, la tunnellisation DNS, le DoH, les algorithmes de génération de domaines et une infrastructure fondée sur des CDN pour dissimuler le trafic C2. La détection exige l’utilisation des empreintes JA3, l’analyse des anomalies DNS, la détection des schémas d’émission de balises et le renseignement sur les menaces concernant l’infrastructure C2 connue, plutôt que le simple blocage des adresses IP malveillantes connues.