เฟรมเวิร์ก C2: Cobalt Strike และ Sliver

เฟรมเวิร์กการสั่งการและควบคุม (C2) คือแพลตฟอร์มสำหรับจัดการระบบที่ถูกโจมตีระหว่างปฏิบัติการของทีมเรดทีม โดยมีช่องทางสื่อสารระหว่างผู้ปฏิบัติงานกับโปรแกรมฝังตัว การจัดการงาน โมดูลหลังการเจาะระบบ และการบันทึกข้อมูล

Cobalt Strike คือเฟรมเวิร์ก C2 เชิงพาณิชย์ที่มีการใช้งานแพร่หลายที่สุด ฟีเจอร์สำคัญมีดังนี้:

• โปรไฟล์ C2 แบบปรับแต่งได้ (ปรับแต่งการรับส่งข้อมูลเครือข่ายให้กลมกลืนกับการรับส่งข้อมูลทั่วไป)
• โปรแกรมฝังตัว Beacon (การสื่อสารผ่าน HTTP, HTTPS, DNS, SMB)
• เซิร์ฟเวอร์ทีมสำหรับการทำงานร่วมกันของผู้ปฏิบัติงานหลายคน
• Aggressor Script สำหรับทำงานอัตโนมัติ

ผู้คุกคามจริงมักนำไปใช้ในทางที่ผิด — โปรดจดจำสิ่งนี้ในการสืบสวน IR

เพย์โหลด Beacon รองรับสิ่งต่อไปนี้:

• ช่วงเวลาพักพร้อมความคลาดเคลื่อนแบบสุ่ม (หลบเลี่ยงการตรวจจับที่อาศัยเวลา)
• การสื่อสารที่เข้ารหัส
• การทำงานในหน่วยความจำ (ไม่มีไฟล์บนดิสก์)
• พร็อกซี SOCKS ผ่านโฮสต์ที่ถูกโจมตี

Sliver (BishopFox) เป็นกรอบงานระบบสั่งการและควบคุมแบบโอเพนซอร์สที่ใช้งานได้ฟรี:

• รองรับช่องทาง mTLS, HTTP/S, DNS และ WireGuard
• สร้างอิมแพลนต์ด้วย Go ได้ (ข้ามแพลตฟอร์ม)
• มีการทำให้โค้ดของอิมแพลนต์สับสนในตัว (Garble)
• รองรับผู้ควบคุมหลายคน

Meterpreter ของ Metasploit เป็นระบบสั่งการและควบคุมพื้นฐาน แต่กรอบงานเฉพาะทางอย่าง Cobalt Strike และ Sliver มีความสามารถดังนี้:

• ความปลอดภัยในการปฏิบัติงานดีกว่า (โปรโตคอลที่ปรับเปลี่ยนได้หรือกำหนดเอง)
• รองรับผู้ควบคุมหลายคน
• การดำเนินการหลังการเจาะระบบที่ซับซ้อนกว่า
• การบันทึกข้อมูลและการจัดทำรายงานสำหรับการปฏิบัติงานของทีมสีแดง

ความปลอดภัยในการปฏิบัติงานสำหรับโครงสร้างพื้นฐานของระบบสั่งการและควบคุม:

• ใช้ตัวเปลี่ยนเส้นทาง (nginx) เพื่อซ่อนเซิร์ฟเวอร์ระบบสั่งการและควบคุมที่แท้จริง
• การบังหน้าด้วยโดเมน (กำหนดเส้นทางผ่าน CDN เพื่อซ่อนโดเมนระบบสั่งการและควบคุม)
• จัดหาโดเมนที่ดูน่าเชื่อถือ (จัดหมวดหมู่โดยตัวกรองเว็บ)
• ใช้โครงสร้างพื้นฐานแยกกันสำหรับการปฏิบัติงานแต่ละครั้ง

ทีมฝ่ายป้องกันตรวจจับระบบสั่งการและควบคุมได้จาก:

• สตริงตัวแทนผู้ใช้ HTTP หรือส่วนหัวที่ผิดปกติ
• ช่วงเวลาการส่งสัญญาณที่เป็นระยะ (การเชื่อมต่อขาออกอย่างสม่ำเสมอ)
• การสอบถาม DNS ไปยังโดเมนที่จดทะเบียนใหม่หรือมีชื่อเสียงต่ำ
• กฎ Yara ที่ตรงกับลายเซ็นของ Cobalt Strike หรือ Sliver
• การสแกนหน่วยความจำเพื่อหารูปแบบอิมแพลนต์ที่รู้จัก

ความสามารถหลังการเจาะระบบที่พบได้ทั่วไปของระบบสั่งการและควบคุม:

• การดึงข้อมูลประจำตัว (การผสานรวม Mimikatz)
• การเคลื่อนที่ด้านข้าง (WMI, PSExec, SMB)
• การคงอยู่ในระบบ (งานตามกำหนดเวลา คีย์รีจิสทรี)
• การจับภาพหน้าจอ โปรแกรมบันทึกแป้นพิมพ์ เครื่องมือเรียกดูไฟล์
• การใช้โฮสต์ที่ถูกบุกรุกเป็นจุดผ่าน

โปรไฟล์ระบบสั่งการและควบคุมแบบปรับเปลี่ยนได้ของ Cobalt Strike ใช้ปรับแต่งการรับส่งข้อมูลของบีคอนให้เลียนแบบแอปพลิเคชันที่ถูกต้องตามปกติ (Slack, Teams, OneDrive) ระบบป้องกันเครือข่ายจะจับคู่ลายเซ็นกับโปรไฟล์เริ่มต้น — โปรไฟล์แบบกำหนดเองจึงหลบเลี่ยงลายเซ็นเหล่านี้ได้

กรอบงานระบบสั่งการและควบคุมเป็นเครื่องมือทดสอบการเจาะระบบที่ถูกต้องตามกฎหมาย และต้องได้รับอนุญาตเป็นลายลักษณ์อักษรอย่างชัดเจน การใช้กรอบงานระบบสั่งการและควบคุมกับเป้าหมายที่ไม่ได้รับอนุญาตเป็นความผิดอาญาตามกฎหมายของรัฐบาลกลาง โปรดตรวจสอบให้แน่ใจว่ากติกาการปฏิบัติงานระบุสิ่งต่อไปนี้ไว้อย่างชัดเจน:

• ขอบเขตของระบบที่ถูกบุกรุกซึ่งอนุญาตให้ดำเนินการได้
• ข้อจำกัดในการนำข้อมูลออกจากระบบ
• เป้าหมายที่อยู่นอกขอบเขต

ทีม IR มองหา:

• ความสัมพันธ์ระหว่างกระบวนการแม่กับกระบวนการลูกที่ผิดปกติ (Word เรียกใช้ PowerShell)
• LOLBins ที่สร้างการเชื่อมต่อเครือข่ายภายนอก
• คำสั่ง PowerShell ที่เข้ารหัสไว้ในบันทึกเหตุการณ์
• งานตามกำหนดเวลาหรือบริการที่มีชื่อผิดปกติ
• ลายน้ำของ Cobalt Strike ในหน่วยความจำ (รหัสทีม ID ในบีคอน)

กรอบงานระบบสั่งการและควบคุม (Cobalt Strike, Sliver) ใช้จัดการอิมแพลนต์บนระบบที่ถูกบุกรุกผ่านช่องทางเข้ารหัส พร้อมโมดูลหลังการเจาะระบบและการรองรับผู้ควบคุมหลายคน โปรไฟล์ระบบสั่งการและควบคุมแบบปรับเปลี่ยนได้ช่วยหลบเลี่ยงการตรวจจับด้วยการเลียนแบบการรับส่งข้อมูลที่ถูกต้องตามปกติ การตรวจจับทำได้จากช่วงเวลาการส่งสัญญาณ DNS ที่ผิดปกติ และลายเซ็น Yara ต้องมีการอนุญาตเป็นลายลักษณ์อักษรเสมอ — การใช้งานในทางที่ผิดเป็นความผิดอาญา