C2 su HTTPS e tunneling DNS

Il Command and Control (C2) è il canale attraverso il quale gli attaccanti impartiscono comandi ai sistemi compromessi e ricevono dati. Il C2 moderno si confonde con il traffico legittimo per eludere il rilevamento, utilizzando protocolli (HTTPS, DNS) e infrastrutture (CDN, servizi cloud) difficili da bloccare senza provocare danni collaterali.

Il C2 su HTTPS incapsula comandi e risposte in traffico HTTP crittografato con TLS. Il beacon interroga periodicamente un server C2 tramite richieste GET; i comandi vengono restituiti nelle risposte HTTP. Il jitter (una variazione casuale dell'intervallo tra i beacon) impedisce il normale schema temporale che consente di rilevare il beaconing sincrono.

Il domain fronting sfrutta il routing delle CDN: il campo SNI del TLS e l'intestazione HTTP Host sono diversi. L'handshake TLS viene indirizzato a un dominio legittimo della CDN (superando i controlli), ma l'intestazione HTTP Host indirizza la richiesta a un backend dannoso. I provider cloud hanno in gran parte bloccato questa tecnica.

JA3 crea l'impronta digitale dei parametri TLS ClientHello (suite di cifratura, estensioni, curve ellittiche) trasformandoli in un hash. I client C2 dei malware presentano hash JA3 coerenti anche quando cambiano i certificati. Gli strumenti di sicurezza di rete possono generare avvisi quando gli hash JA3 di malware noti compaiono nel traffico.

La funzionalità Malleable C2 di Cobalt Strike consente agli operatori di personalizzare ogni aspetto del traffico dei beacon per imitare applicazioni legittime (Amazon, Twitter, Google analytics). Il traffico appare come una normale comunicazione applicativa, eludendo il rilevamento basato sulle firme dei profili Cobalt Strike predefiniti.

Il tunneling DNS codifica i dati nelle query e nelle risposte DNS. I comandi vengono codificati nei nomi host delle query DNS (commands.encoded-data.c2domain.com). Le risposte trasportano i dati nei campi dei record DNS (TXT, A, CNAME). Dnscat2 e Iodine sono strumenti comuni per il tunneling DNS.

Segnali del tunneling DNS: etichette di sottodominio ad alta entropia (dati codificati in base64/hex), una frequenza insolitamente elevata di query DNS da un singolo host, query DNS con nomi insolitamente lunghi, query per record di tipo TXT o NULL (rari nel traffico legittimo) e query verso domini registrati di recente.

I malware basati su DGA generano ogni giorno centinaia di domini pseudo-casuali utilizzando un valore seed. L'attaccante registra un solo dominio al giorno. I difensori non possono bloccare tutti i domini generati: per farlo devono rilevare il pattern del DGA stesso e utilizzare DNS sinkhole o il rilevamento dei DGA basato sul machine learning.

DNS-over-HTTPS (DoH) incapsula le query DNS in HTTPS crittografato diretto a Google, Cloudflare o a un resolver DoH dannoso. I tradizionali controlli DNS a livello di rete non possono vedere queste query. Il rilevamento richiede il monitoraggio della risoluzione DNS a livello endpoint tramite EDR oppure l'imposizione dell'uso di un resolver DoH noto e affidabile.

Rilevate il beaconing analizzando: la frequenza delle connessioni (connessioni periodiche regolari verso la stessa destinazione), la coerenza del volume dei dati (payload di dimensioni simili per ogni beacon), i pattern della durata delle connessioni e l'analisi dell'ora del giorno (il beaconing continua 24 ore su 24, 7 giorni su 7, a differenza del traffico degli utenti umani). Le analisi SIEM automatizzano questo rilevamento.

Il DNS passivo, la certificate transparency e l'analisi WHOIS rivelano l'infrastruttura C2. Domini registrati di recente, certificati Let's Encrypt su IP appena attivati e hosting presso provider bulletproof sono indicatori rilevanti. Le piattaforme di threat intelligence tengono traccia dell'infrastruttura C2 nota per consentire il blocco proattivo.

Che cos'è un Domain Generation Algorithm (DGA) e perché rende più complesso bloccare il C2?

Gli APT utilizzano il beaconing HTTPS con jitter, il tunneling DNS, il DoH, gli algoritmi di generazione dei domini e infrastrutture basate su CDN per nascondere il traffico C2. Il rilevamento richiede il fingerprinting JA3, l'analisi delle anomalie DNS, il rilevamento dei pattern di beaconing e la threat intelligence sull'infrastruttura C2 nota, non soltanto il blocco tramite blocklist degli indirizzi IP dannosi noti.