C2 melalui HTTPS dan Tunneling DNS

Komando dan Kendali (C2) adalah saluran yang digunakan penyerang untuk mengeluarkan perintah kepada sistem yang telah disusupi dan menerima data. C2 modern menyamarkan diri sebagai lalu lintas yang sah untuk menghindari deteksi, dengan menggunakan protokol (HTTPS, DNS) dan infrastruktur (CDN, layanan awan) yang sulit diblokir tanpa menimbulkan dampak sampingan.

C2 melalui HTTPS membungkus perintah dan respons dalam lalu lintas HTTP yang dienkripsi TLS. Sinyal berkala secara berkala menghubungi server C2 dengan permintaan GET; perintah dikembalikan dalam respons HTTP. Variasi acak pada interval sinyal mencegah pola waktu teratur yang dapat mendeteksi pengiriman sinyal sinkron.

Penyamaran domain menyalahgunakan perutean CDN: kolom SNI TLS dan header Host HTTP berbeda. Jabat tangan TLS diarahkan ke domain CDN yang sah (lolos pemeriksaan), tetapi header Host HTTP mengarahkan permintaan ke server tujuan berbahaya. Penyedia komputasi awan sebagian besar telah memblokir teknik ini.

JA3 mengubah parameter ClientHello TLS (rangkaian sandi, ekstensi, kurva eliptik) menjadi sebuah hash. Klien C2 perangkat lunak berbahaya memiliki hash JA3 yang konsisten meskipun sertifikat berubah. Alat keamanan jaringan dapat memberikan peringatan ketika hash JA3 perangkat lunak berbahaya yang telah diketahui muncul dalam lalu lintas.

C2 yang Dapat Diubah milik Cobalt Strike memungkinkan operator menyesuaikan setiap aspek lalu lintas sinyal agar menyerupai aplikasi yang sah (Amazon, Twitter, Google Analytics). Lalu lintas tersebut tampak seperti komunikasi aplikasi biasa sehingga mengalahkan deteksi berbasis tanda tangan terhadap profil Cobalt Strike bawaan.

Penerowongan DNS menyandikan data dalam kueri dan respons DNS. Perintah disandikan dalam nama host kueri DNS (commands.encoded-data.c2domain.com). Respons membawa data dalam kolom catatan DNS (TXT, A, CNAME). Dnscat2 dan Iodine adalah alat penerowongan DNS yang umum.

Tanda-tanda penerowongan DNS meliputi: label subdomain dengan entropi tinggi (data yang disandikan dalam base64/hex), laju kueri DNS yang sangat tinggi dari satu host, kueri DNS dengan nama yang sangat panjang, kueri jenis catatan TXT atau NULL (tidak umum dalam lalu lintas yang sah), serta kueri ke domain yang baru saja didaftarkan.

Perangkat lunak berbahaya DGA menghasilkan ratusan domain semu-acak setiap hari menggunakan nilai benih. Penyerang hanya mendaftarkan satu domain setiap hari. Pihak bertahan tidak dapat memblokir semua domain yang dihasilkan—pemblokiran memerlukan deteksi terhadap pola DGA itu sendiri serta penggunaan pengalihan DNS ke server penampung atau deteksi DGA berbasis pembelajaran mesin.

DNS-over-HTTPS (DoH) merangkum kueri DNS dalam HTTPS terenkripsi menuju Google, Cloudflare, atau penyelesai DoH berbahaya. Pemeriksaan DNS tingkat jaringan tradisional tidak dapat melihat kueri ini. Deteksi memerlukan pemantauan resolusi DNS pada titik akhir melalui EDR atau penerapan penyelesai DoH yang telah diketahui aman.

Deteksi sinyal berkala dilakukan dengan menganalisis: frekuensi koneksi (koneksi berkala yang teratur ke tujuan yang sama), konsistensi volume data (ukuran muatan data yang serupa pada setiap sinyal), pola durasi koneksi, dan analisis waktu (sinyal berkala terus berjalan 24/7, tidak seperti lalu lintas pengguna manusia). Analitik SIEM mengotomatiskan deteksi ini.

DNS pasif, transparansi sertifikat, dan analisis WHOIS dapat mengungkap infrastruktur C2. Domain yang baru didaftarkan, sertifikat Let's Encrypt pada IP baru, dan penggunaan penyedia yang tahan penindakan merupakan indikator. Platform intelijen ancaman melacak infrastruktur C2 yang telah diketahui untuk pemblokiran proaktif.

Apa yang dimaksud dengan Algoritme Pembangkitan Domain (DGA), dan mengapa algoritme ini menyulitkan pemblokiran C2?

APT menggunakan sinyal HTTPS dengan variasi acak, penerowongan DNS, DoH, algoritme pembangkitan domain, dan infrastruktur berbasis CDN untuk menyembunyikan lalu lintas C2. Deteksi memerlukan sidik jari JA3, analisis anomali DNS, deteksi pola sinyal berkala, dan intelijen ancaman tentang infrastruktur C2 yang telah diketahui—bukan hanya membuat daftar blokir untuk IP buruk yang telah diketahui.