Framework C2: Cobalt Strike e Sliver

Un framework Command and Control (C2) è una piattaforma per gestire sistemi compromessi durante le operazioni di red team. Fornisce canali di comunicazione tra l’operatore e gli implant, gestione delle attività, moduli di post-exploitation e registrazione degli eventi.

Cobalt Strike è il framework C2 commerciale più utilizzato. Funzionalità:

• Profili Malleable C2 (personalizzano il traffico di rete per mimetizzarlo)
• Implant Beacon (comunicazioni HTTP, HTTPS, DNS, SMB)
• Team server per la collaborazione tra più operatori
• Aggressor Script per l’automazione

Viene spesso utilizzato impropriamente da veri attori delle minacce: è importante saperlo riconoscere nelle indagini di risposta agli incidenti (IR).

Il payload Beacon supporta:

• Intervalli di sleep con jitter (per eludere il rilevamento basato sui tempi)
• Comunicazioni crittografate
• Esecuzione in memoria (nessun file sul disco)
• Proxy SOCKS attraverso host compromessi

Sliver (BishopFox) è un framework C2 gratuito e open source:

• Supporta canali mTLS, HTTP/S, DNS e WireGuard
• Implant generati in Go (multipiattaforma)
• Offuscamento degli implant integrato (Garble)
• Supporto per più operatori

Meterpreter di Metasploit è un C2 di base, ma i framework dedicati come Cobalt Strike e Sliver offrono:

• Maggiore sicurezza operativa (protocolli malleabili/personalizzati)
• Supporto per più operatori
• Funzionalità di post-exploitation più sofisticate
• Registrazione e reportistica per gli ingaggi di red team

Sicurezza operativa per l'infrastruttura C2:

• Utilizzi redirector (nginx) per nascondere il vero server C2
• Utilizzi il domain fronting (instradamento tramite una CDN per nascondere il dominio C2)
• Acquisisca domini dall'aspetto legittimo (classificati dai filtri web)
• Utilizzi un'infrastruttura separata per ogni ingaggio

I blue team rilevano il C2 tramite:

• Stringhe User-Agent o intestazioni HTTP insolite
• Intervalli periodici dei beacon (connessioni in uscita regolari)
• Query DNS verso domini registrati di recente o con bassa reputazione
• Regole Yara che corrispondono alle firme di Cobalt Strike/Sliver
• Scansione della memoria alla ricerca di pattern noti degli implant

Funzionalità comuni di post-exploitation dei C2:

• Estrazione delle credenziali (integrazione con Mimikatz)
• Movimento laterale (WMI, PSExec, SMB)
• Persistenza (attività pianificate, chiavi del registro)
• Screenshot, keylogger, browser di file
• Pivoting attraverso host compromessi

I profili Malleable C2 di Cobalt Strike personalizzano il traffico dei beacon per imitare applicazioni legittime (Slack, Teams, OneDrive). Le difese di rete identificano le firme dei profili predefiniti: i profili personalizzati eludono queste firme.

I framework C2 sono strumenti legittimi di penetration testing che richiedono un'autorizzazione scritta esplicita. L'uso dei framework C2 contro obiettivi non autorizzati costituisce un reato federale. Si assicuri che le regole d'ingaggio definiscano chiaramente:

• Ambito dei sistemi compromessi autorizzati
• Restrizioni sull'esfiltrazione dei dati
• Obiettivi fuori ambito

I team IR cercano:

• Relazioni insolite tra processi padre e figlio (Word che avvia PowerShell)
• LOLBins che stabiliscono connessioni di rete esterne
• Comandi PowerShell codificati nei log degli eventi
• Attività pianificate o servizi con nomi insoliti
• Watermark di Cobalt Strike in memoria (Team ID nel Beacon)

I framework C2 (Cobalt Strike, Sliver) gestiscono gli implant sui sistemi compromessi tramite canali crittografati, moduli di post-exploitation e supporto per più operatori. I profili Malleable C2 eludono il rilevamento imitando traffico legittimo. Rilevamento: intervalli dei beacon, DNS insoliti, firme Yara. Il loro utilizzo richiede sempre un'autorizzazione scritta: l'uso improprio è un reato.