Kerangka Kerja C2: Cobalt Strike dan Sliver

Kerangka kerja Perintah dan Kendali (C2) adalah platform untuk mengelola sistem yang disusupi selama operasi tim merah. Kerangka kerja ini menyediakan saluran komunikasi antara operator dan implan, pengelolaan tugas, modul pascaeksploitasi, serta pencatatan.

Cobalt Strike adalah kerangka kerja C2 komersial yang paling banyak digunakan. Fitur-fiturnya:

• Profil C2 yang dapat diubah (sesuaikan lalu lintas jaringan agar menyatu dengan lalu lintas lain)
• Implan Beacon (komunikasi HTTP, HTTPS, DNS, SMB)
• Server tim untuk kolaborasi banyak operator
• Aggressor Script untuk otomatisasi

Sering disalahgunakan oleh pelaku ancaman nyata — kenali dalam investigasi IR.

Muatan Beacon mendukung:

• Interval tidur dengan variasi waktu (menghindari deteksi berbasis waktu)
• Komunikasi terenkripsi
• Eksekusi dalam memori (tanpa berkas di penyimpanan)
• Proksi SOCKS melalui mesin yang disusupi

Sliver (BishopFox) adalah kerangka kerja C2 sumber terbuka yang gratis:

• Mendukung saluran mTLS, HTTP/S, DNS, dan WireGuard
• Implan dibuat dalam Go (lintas platform)
• Penyamaran implan bawaan (Garble)
• Dukungan untuk banyak operator

Meterpreter milik Metasploit adalah C2 dasar, tetapi kerangka kerja khusus seperti Cobalt Strike dan Sliver menawarkan:

• Keamanan operasional yang lebih baik (protokol yang dapat disesuaikan atau dibuat khusus)
• Dukungan untuk banyak operator
• Pasca-eksploitasi yang lebih canggih
• Pencatatan dan pelaporan untuk penugasan tim merah

Keamanan operasional untuk infrastruktur C2:

• Gunakan pengalih (nginx) untuk menyembunyikan server C2 yang sebenarnya
• Penyamaran domain (merutekan melalui CDN untuk menyembunyikan domain C2)
• Dapatkan domain yang tampak sah (dikategorikan oleh penyaring web)
• Gunakan infrastruktur terpisah untuk setiap penugasan

Tim biru mendeteksi C2 melalui:

• String User-Agent HTTP atau header yang tidak biasa
• Interval sinyal berkala (koneksi keluar yang teratur)
• Kueri DNS ke domain yang baru didaftarkan atau bereputasi rendah
• Aturan Yara yang cocok dengan tanda tangan Cobalt Strike atau Sliver
• Pemindaian memori untuk mencari pola implan yang telah diketahui

Kemampuan pasca-eksploitasi C2 yang umum:

• Pengambilan kredensial (integrasi Mimikatz)
• Pergerakan lateral (WMI, PSExec, SMB)
• Persistensi (tugas terjadwal, kunci registri)
• Tangkapan layar, pencatat tombol, penjelajah berkas
• Pivot melalui host yang disusupi

Profil C2 Malleable milik Cobalt Strike menyesuaikan lalu lintas beacon agar menyerupai aplikasi yang sah (Slack, Teams, OneDrive). Pertahanan jaringan mencocokkan tanda tangan dengan profil bawaan — profil khusus dapat menghindari tanda tangan tersebut.

Kerangka kerja C2 adalah alat pengujian penetrasi yang sah dan memerlukan otorisasi tertulis secara eksplisit. Menggunakan kerangka kerja C2 terhadap target tanpa izin merupakan kejahatan federal. Pastikan aturan pelaksanaan mendefinisikan dengan jelas:

• Scope sistem yang disusupi dan diperbolehkan
• Pembatasan eksfiltrasi data
• Target di luar lingkup

Tim IR mencari:

• Hubungan proses induk-anak yang tidak biasa (Word menjalankan PowerShell)
• LOLBins yang membuat koneksi jaringan eksternal
• Perintah PowerShell yang disandikan dalam log peristiwa
• Tugas terjadwal atau layanan dengan nama yang tidak biasa
• Watermark Cobalt Strike dalam memori (ID Tim dalam Beacon)

Kerangka kerja C2 (Cobalt Strike, Sliver) mengelola implan pada sistem yang disusupi melalui saluran terenkripsi, modul pasca-eksploitasi, dan dukungan untuk banyak operator. Profil C2 Malleable menghindari deteksi dengan meniru lalu lintas yang sah. Deteksi: interval beacon, DNS yang tidak biasa, dan tanda tangan Yara. Selalu diperlukan otorisasi tertulis — penyalahgunaan merupakan tindak pidana.