Фреймворки C2: Cobalt Strike и Sliver

Платформа командования и управления (C2) — это платформа для управления скомпрометированными системами во время операций красной команды. Она предоставляет каналы связи между оператором и имплантами, управление задачами, модули постэксплуатации и ведение журналов.

Cobalt Strike — наиболее широко используемая коммерческая платформа C2. Возможности:

• Профили Malleable C2 (настройка сетевого трафика для маскировки под обычный)
• Имплант Beacon (обмен данными по HTTP, HTTPS, DNS, SMB)
• Командный сервер для совместной работы нескольких операторов
• Aggressor Script для автоматизации

Платформой часто злоупотребляют реальные субъекты угроз — распознавайте её во время расследований IR.

Полезная нагрузка Beacon поддерживает:

• Интервалы сна со случайным отклонением (для обхода обнаружения по времени)
• Зашифрованный обмен данными
• Выполнение в памяти (без файлов на диске)
• Прокси SOCKS через скомпрометированные узлы

Sliver (BishopFox) — бесплатный фреймворк C2 с открытым исходным кодом:

• Поддерживает каналы mTLS, HTTP/S, DNS и WireGuard
• Импланты создаются на Go и работают на разных платформах
• Встроенная обфускация имплантов (Garble)
• Поддержка нескольких операторов

Meterpreter в Metasploit — это базовый C2, однако специализированные фреймворки, такие как Cobalt Strike и Sliver, предлагают:

• Более высокий уровень операционной безопасности (гибко настраиваемые и пользовательские протоколы)
• Поддержку нескольких операторов
• Более развитые возможности постэксплуатации
• Ведение журналов и составление отчётов для работ красной команды

Операционная безопасность инфраструктуры C2:

• Используйте перенаправители (nginx), чтобы скрыть настоящий сервер C2
• Используйте фронтинг домена (маршрутизацию через CDN, чтобы скрыть домен C2)
• Получайте домены, похожие на легитимные и относящиеся веб-фильтрами к разрешённым категориям
• Используйте отдельную инфраструктуру для каждой проверки

Синие команды обнаруживают C2 с помощью:

• Необычных строк User-Agent или заголовков HTTP
• Периодических интервалов маяка (регулярных исходящих соединений)
• DNS-запросов к недавно зарегистрированным доменам или доменам с низкой репутацией
• Правил Yara, соответствующих сигнатурам Cobalt Strike и Sliver
• Сканирования памяти на наличие известных шаблонов имплантов

Распространённые возможности постэксплуатации C2:

• Извлечение учётных данных (интеграция с Mimikatz)
• Перемещение по сети (WMI, PSExec, SMB)
• Закрепление в системе (запланированные задания, ключи реестра)
• Создание снимков экрана, кейлоггер, обозреватель файлов
• Переход через скомпрометированные узлы

Гибко настраиваемые профили C2 в Cobalt Strike изменяют трафик маяка так, чтобы он имитировал легитимные приложения (Slack, Teams, OneDrive). Сетевые средства защиты сопоставляют сигнатуры с профилями по умолчанию — пользовательские профили позволяют обойти эти сигнатуры.

Фреймворки C2 — это легитимные инструменты тестирования на проникновение, для использования которых требуется явное письменное разрешение. Использование фреймворков C2 против несанкционированных целей является федеральным преступлением. Заранее убедитесь, что правила проведения работ чётко определяют:

• Область допустимых скомпрометированных систем
• Ограничения на извлечение данных
• Цели, не входящие в область работ

Команды реагирования на инциденты (IR) ищут:

• Необычные связи между родительскими и дочерними процессами (Word запускает PowerShell)
• LOLBins, устанавливающие внешние сетевые соединения
• Закодированные команды PowerShell в журналах событий
• Запланированные задания или службы с необычными именами
• Водяные знаки Cobalt Strike в памяти (Team ID в Beacon)

Фреймворки C2 (Cobalt Strike, Sliver) управляют имплантами на скомпрометированных системах через зашифрованные каналы, модули постэксплуатации и поддержку нескольких операторов. Гибко настраиваемые профили C2 обходят обнаружение, имитируя легитимный трафик. Признаки обнаружения: интервалы маяка, необычные DNS-запросы и сигнатуры Yara. Их использование всегда требует письменного разрешения — злоупотребление является преступлением.