C2 через HTTPS и туннелирование DNS

Управление и контроль (C2) — это канал, через который злоумышленники отправляют команды скомпрометированным системам и получают данные. Современная C2-связь маскируется под легитимный трафик, чтобы избежать обнаружения, используя протоколы (HTTPS, DNS) и инфраструктуру (CDN, облачные сервисы), которые сложно заблокировать без побочного ущерба.

C2 через HTTPS помещает команды и ответы в зашифрованный TLS HTTP-трафик. Маяк периодически опрашивает сервер C2 с помощью запросов GET; команды возвращаются в ответах HTTP. Джиттер (случайное изменение интервала между сигналами маяка) нарушает регулярную временную закономерность, по которой обнаруживается синхронный маячковый обмен.

Фронтирование домена использует маршрутизацию CDN не по назначению: поле SNI в TLS и заголовок Host в HTTP различаются. Рукопожатие TLS направляется к легитимному домену CDN и проходит проверку, но заголовок Host в HTTP перенаправляет запрос к вредоносному серверному компоненту. Поставщики облачных услуг в значительной степени заблокировали эту технику.

JA3 преобразует параметры ClientHello протокола TLS (наборы шифров, расширения, эллиптические кривые) в хеш. Клиенты вредоносной C2-связи сохраняют одинаковые хеши JA3 независимо от изменений сертификата. Средства сетевой безопасности могут выдавать предупреждение, когда в трафике появляются известные хеши JA3 вредоносных программ.

Изменяемая C2-связь Cobalt Strike позволяет операторам настраивать каждый аспект трафика маяка, чтобы имитировать легитимные приложения (Amazon, Twitter, Google Analytics). Трафик выглядит как обычный обмен данными приложения, что позволяет обходить сигнатурное обнаружение стандартных профилей Cobalt Strike.

Туннелирование DNS кодирует данные в запросах и ответах DNS. Команды кодируются в именах узлов запросов DNS (commands.encoded-data.c2domain.com). Ответы переносят данные в полях записей DNS (TXT, A, CNAME). Dnscat2 и Iodine — распространённые средства туннелирования DNS.

Признаки туннелирования DNS: субдоменные метки с высокой энтропией (данные, закодированные в base64 или шестнадцатеричном формате), необычно высокая частота запросов DNS с одного узла, запросы DNS с необычно длинными именами, запросы записей типов TXT или NULL (редко встречаются в легитимном трафике), а также запросы к недавно зарегистрированным доменам.

Вредоносные программы с DGA ежедневно создают сотни псевдослучайных доменов, используя начальное значение. Злоумышленник регистрирует только один домен в день. Защитники не могут заблокировать все сгенерированные домены — для блокировки необходимо обнаруживать саму закономерность DGA и использовать DNS-синкхолы или обнаружение DGA на основе машинного обучения.

DNS через HTTPS (DoH) инкапсулирует запросы DNS в зашифрованный HTTPS-трафик к Google, Cloudflare или вредоносному преобразователю DoH. Традиционная проверка DNS на уровне сети не может видеть эти запросы. Для обнаружения требуется отслеживать разрешение DNS на уровне конечных устройств с помощью EDR или принудительно использовать известный доверенный преобразователь DoH.

Обнаруживайте маячковый трафик, анализируя: частоту соединений (регулярные периодические соединения с одним и тем же назначением), согласованность объёма данных (одинаковый размер полезной нагрузки каждого сигнала маяка), закономерности длительности соединений и время суток (маячковый обмен продолжается круглосуточно, в отличие от трафика пользователей). Аналитика SIEM автоматизирует это обнаружение.

Пассивный анализ DNS, прозрачность сертификатов и анализ WHOIS раскрывают инфраструктуру C2. Признаками являются недавно зарегистрированные домены, сертификаты Let's Encrypt на новых IP-адресах и размещение у поставщиков услуг, устойчивых к блокировке. Платформы анализа угроз отслеживают известную инфраструктуру C2 для упреждающей блокировки.

APT используют маячковый обмен по HTTPS с джиттером, туннелирование DNS, DoH, алгоритмы генерации доменов и инфраструктуру на основе CDN, чтобы скрывать трафик C2. Для обнаружения требуются отпечатки JA3, анализ аномалий DNS, выявление закономерностей маячкового трафика и анализ угроз на основе сведений об известной инфраструктуре C2, а не только блокировка известных вредоносных IP-адресов.