Frameworks de C2: Cobalt Strike e Sliver

Uma estrutura de comando e controle (C2) é uma plataforma para gerenciar sistemas comprometidos durante operações de equipe vermelha. Ela fornece canais de comunicação entre o operador e os implantes, gerenciamento de tarefas, módulos de pós-exploração e registro de eventos.

O Cobalt Strike é a estrutura C2 comercial mais usada. Recursos:

• Perfis C2 adaptáveis (personalizam o tráfego de rede para se misturar ao tráfego legítimo)
• Implante Beacon (comunicações por HTTP, HTTPS, DNS e SMB)
• Servidor de equipe para colaboração entre vários operadores
• Aggressor Script para automação

É frequentemente usado de forma indevida por agentes de ameaças reais — reconheça-o em investigações de resposta a incidentes.

A carga Beacon oferece suporte a:

• Intervalos de espera com variação aleatória (para evitar detecção baseada em tempo)
• Comunicações criptografadas
• Execução na memória (nenhum arquivo no disco)
• Proxy SOCKS por meio de hosts comprometidos

Sliver (BishopFox) é uma estrutura C2 gratuita e de código aberto:

• Oferece suporte a canais mTLS, HTTP/S, DNS e WireGuard
• Implantes gerados em Go (multiplataforma)
• Ofuscação de implantes integrada (Garble)
• Suporte a vários operadores

O Meterpreter do Metasploit é um C2 básico, mas estruturas dedicadas, como Cobalt Strike e Sliver, oferecem:

• Melhor segurança operacional (protocolos maleáveis/personalizados)
• Suporte a vários operadores
• Pós-exploração mais sofisticada
• Registro e geração de relatórios para operações de equipe vermelha

Segurança operacional da infraestrutura C2:

• Use redirecionadores (nginx) para ocultar o verdadeiro servidor C2
• Fronting de domínio (roteamento por uma CDN para ocultar o domínio C2)
• Obtenha domínios com aparência legítima (classificados por filtros da Web)
• Use uma infraestrutura separada para cada operação

As equipes azuis detectam C2 por meio de:

• Strings de User-Agent HTTP ou cabeçalhos incomuns
• Intervalos periódicos de beacon (conexões de saída regulares)
• Consultas DNS para domínios recém-registrados ou de baixa reputação
• Regras Yara que correspondem a assinaturas do Cobalt Strike/Sliver
• Varredura de memória em busca de padrões de implantes conhecidos

Recursos comuns de pós-exploração de C2:

• Extração de credenciais (integração com Mimikatz)
• Movimentação lateral (WMI, PSExec, SMB)
• Persistência (tarefas agendadas, chaves do registro)
• Captura de tela, registrador de teclas, navegador de arquivos
• Movimentação por meio de hosts comprometidos

Os perfis C2 maleáveis do Cobalt Strike personalizam o tráfego do beacon para imitar aplicativos legítimos (Slack, Teams, OneDrive). As defesas de rede fazem correspondência de assinaturas com os perfis padrão — os perfis personalizados evitam essas assinaturas.

As estruturas C2 são ferramentas legítimas de testes de intrusão que exigem autorização explícita por escrito. Usar estruturas C2 contra alvos não autorizados é crime federal. Certifique-se de que as regras de engajamento definam claramente:

• Escopo dos sistemas comprometidos permitidos
• Restrições à exfiltração de dados
• Alvos fora do escopo

As equipes de IR procuram:

• Relações incomuns entre processos pai e filho (Word gerando PowerShell)
• LOLBins fazendo conexões de rede externas
• Comandos PowerShell codificados nos registros de eventos
• Tarefas agendadas ou serviços com nomes incomuns
• Marcas d'água do Cobalt Strike na memória (ID da equipe no Beacon)

Qual recurso do Cobalt Strike permite que os operadores personalizem o tráfego de rede do beacon para imitar serviços legítimos e evitar a detecção?

As estruturas C2 (Cobalt Strike, Sliver) gerenciam implantes em sistemas comprometidos por meio de canais criptografados, módulos de pós-exploração e suporte a vários operadores. Os perfis C2 maleáveis evitam a detecção ao imitar tráfego legítimo. Detecção: intervalos de beacon, DNS incomum e assinaturas Yara. A autorização por escrito é sempre obrigatória — o uso indevido é crime.