Frameworki C2: Cobalt Strike i Sliver

Framework dowodzenia i kontroli (C2) to platforma do zarządzania zaatakowanymi systemami podczas operacji red team. Udostępnia kanały komunikacji między operatorem a implantami, zarządzanie zadaniami, moduły post-exploitation oraz rejestrowanie działań.

Cobalt Strike to najczęściej używany komercyjny framework C2. Funkcje:

• Profile Malleable C2 (dostosowywanie ruchu sieciowego tak, aby się nie wyróżniał)
• Implant Beacon (komunikacja za pośrednictwem HTTP, HTTPS, DNS i SMB)
• Serwer zespołowy do współpracy wielu operatorów
• Aggressor Script do automatyzacji

Często jest niewłaściwie wykorzystywany przez rzeczywistych aktorów zagrożeń — należy umieć rozpoznać go podczas dochodzeń IR.

Ładunek Beacon obsługuje:

• Interwały uśpienia z losowym odchyleniem (jitter) w celu uniknięcia wykrywania opartego na pomiarze czasu
• Szyfrowaną komunikację
• Wykonywanie w pamięci (bez plików na dysku)
• Serwer proxy SOCKS za pośrednictwem zaatakowanych hostów

Sliver (BishopFox) to bezpłatny framework C2 o otwartym kodzie źródłowym:

• Obsługuje kanały mTLS, HTTP/S, DNS i WireGuard
• Implanty są generowane w języku Go (wieloplatformowe)
• Wbudowane zaciemnianie implantów (Garble)
• Obsługa wielu operatorów

Meterpreter w Metasploit to podstawowy C2, ale dedykowane frameworki, takie jak Cobalt Strike i Sliver, oferują:

• Lepsze bezpieczeństwo operacyjne (modyfikowalne i niestandardowe protokoły)
• Obsługę wielu operatorów
• Bardziej zaawansowane możliwości po eksploatacji
• Rejestrowanie i raportowanie na potrzeby działań zespołu red team

Bezpieczeństwo operacyjne infrastruktury C2:

• Należy używać redirectorów (nginx), aby ukryć właściwy serwer C2
• Domain fronting (kierowanie ruchu przez CDN w celu ukrycia domeny C2)
• Należy uzyskiwać domeny wyglądające na legalne (kategoryzowane przez filtry internetowe)
• Należy używać oddzielnej infrastruktury dla każdego testu

Zespoły blue team wykrywają C2 za pomocą:

• Nietypowych ciągów User-Agent lub nagłówków HTTP
• Okresowych odstępów między beaconami (regularnych połączeń wychodzących)
• Zapytań DNS do nowo zarejestrowanych domen lub domen o niskiej reputacji
• Reguł Yara dopasowujących sygnatury Cobalt Strike/Sliver
• Skanowania pamięci pod kątem znanych wzorców implantów

Typowe możliwości C2 po eksploatacji:

• Zrzucanie poświadczeń (integracja z Mimikatz)
• Ruch boczny (WMI, PSExec, SMB)
• Utrwalanie dostępu (zaplanowane zadania, klucze rejestru)
• Zrzuty ekranu, keylogger, przeglądarka plików
• Pivotowanie przez przejęte hosty

Modyfikowalne profile C2 w Cobalt Strike dostosowują ruch beaconów tak, aby naśladował legalne aplikacje (Slack, Teams, OneDrive). Mechanizmy obrony sieciowej dopasowują sygnatury do profili domyślnych — niestandardowe profile omijają te sygnatury.

Frameworki C2 to legalne narzędzia do testów penetracyjnych, których użycie wymaga wyraźnej pisemnej autoryzacji. Używanie frameworków C2 przeciwko nieautoryzowanym celom jest przestępstwem federalnym. Należy zadbać o to, aby zasady realizacji testu jasno określały:

• Zakres dozwolonych przejętych systemów
• Ograniczenia dotyczące eksfiltracji danych
• Cele wyłączone z zakresu

Zespoły IR szukają:

• Nietypowych relacji proces nadrzędny–proces podrzędny (Word uruchamia PowerShell)
• LOLBins nawiązujących zewnętrzne połączenia sieciowe
• Zakodowanych poleceń PowerShell w dziennikach zdarzeń
• Zaplanowanych zadań lub usług o nietypowych nazwach
• Znaków wodnych Cobalt Strike w pamięci (Team ID w Beacon)

Frameworki C2 (Cobalt Strike, Sliver) zarządzają implantami na przejętych systemach za pomocą szyfrowanych kanałów, modułów po eksploatacji i obsługi wielu operatorów. Modyfikowalne profile C2 unikają wykrycia, naśladując legalny ruch. Wykrywanie: odstępy między beaconami, nietypowy DNS, sygnatury Yara. Zawsze wymagana jest pisemna autoryzacja — niewłaściwe użycie jest przestępstwem.