C2 프레임워크: Cobalt Strike와 Sliver

명령 및 제어(C2) 프레임워크는 레드 팀 작전 중 침해된 시스템을 관리하는 플랫폼입니다. 운영자와 임플랜트 사이의 통신 채널, 작업 관리, 침해 후 활동 모듈, 로그 기록 기능을 제공합니다.

Cobalt Strike는 가장 널리 사용되는 상용 C2 프레임워크입니다. 주요 기능:

• 변형 가능한 C2 프로필(네트워크 트래픽을 사용자 지정해 정상 트래픽처럼 보이게 함)
• Beacon 임플랜트(HTTP, HTTPS, DNS, SMB 통신)
• 여러 운영자의 협업을 위한 팀 서버
• 자동화를 위한 Aggressor Script

실제 위협 행위자가 자주 악용하므로 IR 조사에서 식별할 수 있어야 합니다.

Beacon 페이로드는 다음을 지원합니다:

• 지터가 적용된 절전 간격(시간 기반 탐지 회피)
• 암호화된 통신
• 메모리 내 실행(디스크에 파일 없음)
• 침해된 호스트를 통한 SOCKS 프록시

Sliver(BishopFox)는 무료 오픈 소스 C2 프레임워크입니다:

• mTLS, HTTP/S, DNS, WireGuard 채널 지원
• Go로 생성되는 임플란트(크로스 플랫폼)
• 내장 임플란트 난독화(Garble)
• 다중 사용자 지원

Metasploit의 Meterpreter는 기본적인 C2이지만, Cobalt Strike와 Sliver 같은 전용 프레임워크는 다음을 제공합니다:

• 향상된 작전 보안(변형 가능/사용자 지정 프로토콜)
• 다중 운영자 지원
• 더 정교한 사후 공격 기능
• 레드 팀 활동을 위한 로깅 및 보고 기능

C2 인프라를 위한 작전 보안:

• 리디렉터(nginx)를 사용하여 실제 C2 서버 숨기기
• 도메인 프론팅(CDN을 통해 라우팅하여 C2 도메인 숨기기)
• 합법적으로 보이며 웹 필터에서 분류되는 도메인 확보
• 활동마다 별도의 인프라 사용

블루 팀은 다음과 같은 방식으로 C2를 탐지합니다:

• 비정상적인 HTTP User-Agent 문자열 또는 헤더
• 주기적인 비콘 간격(규칙적인 외부 연결)
• 새로 등록되었거나 평판이 낮은 도메인에 대한 DNS 질의
• Cobalt Strike/Sliver 시그니처와 일치하는 Yara 규칙
• 알려진 임플란트 패턴을 찾는 메모리 스캔

일반적인 C2 사후 공격 기능:

• 자격 증명 덤프(Mimikatz 통합)
• 측면 이동(WMI, PSExec, SMB)
• 지속성(예약 작업, 레지스트리 키)
• 스크린샷, 키로거, 파일 탐색기
• 침해된 호스트를 통한 피벗

Cobalt Strike의 변형 가능한 C2 프로필은 비콘 트래픽을 사용자 지정하여 합법적인 애플리케이션(Slack, Teams, OneDrive)을 모방합니다. 네트워크 방어 시스템은 기본 프로필의 시그니처를 대조하므로 사용자 지정 프로필은 이러한 시그니처를 회피합니다.

C2 프레임워크는 명시적인 서면 승인이 필요한 합법적인 침투 테스트 도구입니다. 승인되지 않은 대상에 C2 프레임워크를 사용하는 것은 연방법상 범죄입니다. 활동 규칙에 다음 사항을 명확히 정의해야 합니다:

• 침해가 허용되는 시스템의 범위
• 데이터 반출 제한
• 범위 외 대상

IR 팀은 다음을 찾습니다:

• 비정상적인 부모-자식 프로세스 관계(Word가 PowerShell을 생성하는 경우)
• 외부 네트워크 연결을 생성하는 LOLBins
• 이벤트 로그의 인코딩된 PowerShell 명령
• 비정상적인 이름의 예약 작업 또는 서비스
• 메모리의 Cobalt Strike 워터마크(Beacon의 팀 ID)

Cobalt Strike에서 운영자가 합법적인 서비스처럼 보이도록 비콘 네트워크 트래픽을 사용자 지정하고 탐지를 회피할 수 있게 하는 기능은 무엇인가요?

C2 프레임워크(Cobalt Strike, Sliver)는 암호화된 채널, 사후 공격 모듈, 다중 운영자 지원을 사용하여 침해된 시스템의 임플란트를 관리합니다. 변형 가능한 C2 프로필은 합법적인 트래픽을 모방하여 탐지를 회피합니다. 탐지 방법으로는 비콘 간격, 비정상적인 DNS, Yara 시그니처가 있습니다. 항상 서면 승인이 필요하며, 오용은 범죄입니다.