C2 sobre HTTPS e Tunelamento de DNS

Comando e controle (C2) é o canal pelo qual os invasores enviam comandos para sistemas comprometidos e recebem dados. O C2 moderno se mistura ao tráfego legítimo para evitar a detecção, usando protocolos (HTTPS, DNS) e infraestruturas (CDNs, serviços de nuvem) difíceis de bloquear sem causar danos colaterais.

O C2 por HTTPS encapsula comandos e respostas em tráfego HTTP criptografado com TLS. O sinalizador consulta periodicamente um servidor C2 usando solicitações GET; os comandos são retornados nas respostas HTTP. A variação aleatória (alteração aleatória no intervalo entre sinais) impede o padrão de tempo regular que detecta a sinalização síncrona.

O encobrimento de domínio explora o roteamento de CDN: o campo SNI do TLS e o cabeçalho Host do HTTP são diferentes. O handshake do TLS é direcionado a um domínio legítimo de CDN (passando pela inspeção), mas o cabeçalho Host do HTTP encaminha a solicitação para um servidor de retaguarda malicioso. Os provedores de nuvem bloquearam amplamente essa técnica.

O JA3 transforma os parâmetros do ClientHello do TLS (conjuntos de cifras, extensões e curvas elípticas) em um hash. Os clientes C2 de software malicioso têm hashes JA3 consistentes, independentemente de alterações no certificado. As ferramentas de segurança de rede podem gerar alertas quando hashes JA3 conhecidos de software malicioso aparecem no tráfego.

O C2 maleável do Cobalt Strike permite que os operadores personalizem todos os aspectos do tráfego do sinalizador para imitar aplicativos legítimos (Amazon, Twitter, Google Analytics). O tráfego parece ser uma comunicação normal de aplicativo — frustrando a detecção baseada em assinaturas dos perfis padrão do Cobalt Strike.

O tunelamento DNS codifica dados em consultas e respostas DNS. Os comandos são codificados nos nomes de host das consultas DNS (commands.encoded-data.c2domain.com). As respostas transportam dados em campos de registros DNS (TXT, A, CNAME). Dnscat2 e Iodine são ferramentas comuns de tunelamento DNS.

Assinaturas de tunelamento DNS: rótulos de subdomínio com alta entropia (dados codificados em base64 ou hexadecimal), taxa de consultas DNS excepcionalmente alta de um único host, consultas DNS com nomes incomumente longos, consultas por registros do tipo TXT ou NULL (incomuns no tráfego legítimo) e consultas a domínios registrados recentemente.

O software malicioso com DGA gera centenas de domínios pseudoaleatórios diariamente usando um valor inicial. O invasor registra apenas um domínio por dia. Os defensores não conseguem bloquear todos os domínios gerados — o bloqueio exige detectar o próprio padrão do DGA e usar sumidouros DNS ou detecção de DGA baseada em aprendizado de máquina.

O DNS sobre HTTPS (DoH) encapsula consultas DNS em HTTPS criptografado para o Google, a Cloudflare ou um resolvedor DoH malicioso. A inspeção tradicional de DNS no nível da rede não consegue visualizar essas consultas. A detecção exige o monitoramento da resolução de DNS no nível do dispositivo por meio de EDR ou a imposição do uso de um resolvedor DoH conhecido e confiável.

Detecte a sinalização analisando: a frequência das conexões (conexões periódicas regulares com o mesmo destino), a consistência do volume de dados (tamanhos de carga útil semelhantes em cada sinal), os padrões de duração das conexões e a análise do horário do dia (a sinalização continua 24 horas por dia, 7 dias por semana, ao contrário do tráfego de usuários humanos). As análises do SIEM automatizam essa detecção.

O DNS passivo, a transparência de certificados e a análise de WHOIS revelam a infraestrutura C2. Domínios registrados recentemente, certificados da Let's Encrypt em IPs novos e hospedagem em provedores resistentes a derrubadas são indicadores. As plataformas de inteligência sobre ameaças acompanham infraestruturas C2 conhecidas para bloqueio proativo.

O que é um algoritmo de geração de domínios (DGA) e por que ele dificulta o bloqueio de C2?

Os APTs usam sinalização HTTPS com variação aleatória, tunelamento DNS, DoH, algoritmos de geração de domínios e infraestrutura baseada em CDN para ocultar o tráfego C2. A detecção exige impressão digital JA3, análise de anomalias DNS, detecção de padrões de sinalização e inteligência sobre ameaças relacionada à infraestrutura C2 conhecida — não apenas listas de bloqueio de IPs maliciosos conhecidos.