C2 Çerçeveleri: Cobalt Strike ve Sliver

Komuta ve Denetim (C2) çerçevesi, kırmızı takım operasyonları sırasında ele geçirilmiş sistemleri yönetmeye yönelik bir platformdur. Operatör ile implantlar arasında iletişim kanalları, görev yönetimi, istismar sonrası modüller ve günlük kaydı sağlar.

Cobalt Strike, en yaygın kullanılan ticari C2 çerçevesidir. Özellikleri:

• Değiştirilebilir C2 profilleri (ağ trafiğini ortama uyacak biçimde özelleştirme)
• Beacon implantı (HTTP, HTTPS, DNS, SMB iletişimleri)
• Birden fazla operatörün iş birliği yapması için ekip sunucusu
• Otomasyon için Aggressor Script

Gerçek tehdit aktörleri tarafından sıklıkla kötüye kullanılır — IR incelemelerinde onu tanıyın.

Beacon yükü şunları destekler:

• Algılamayı zamanlama tabanlı olarak atlatmak için değişkenlik içeren uyku aralıkları
• Şifreli iletişim
• Bellek içi yürütme (diskte dosya bulunmaz)
• Ele geçirilmiş ana makineler üzerinden SOCKS vekil sunucusu

Sliver (BishopFox), ücretsiz ve açık kaynaklı bir C2 çerçevesidir:

• mTLS, HTTP/S, DNS ve WireGuard kanallarını destekler
• Go ile oluşturulan implantlar (platformlar arası)
• Yerleşik implant gizleme (Garble)
• Çoklu operatör desteği

Metasploit'in Meterpreter'ı temel düzeyde bir C2'dir; ancak Cobalt Strike ve Sliver gibi özel çerçeveler şunları sunar:

• Daha iyi operasyonel güvenlik (uyarlanabilir/özel protokoller)
• Çoklu operatör desteği
• Daha gelişmiş sömürü sonrası yetenekler
• Kırmızı takım çalışmaları için günlük kaydı ve raporlama

C2 altyapısı için operasyonel güvenlik:

• Gerçek C2 sunucusunu gizlemek için yönlendiriciler (nginx) kullanın
• Alan adı maskeleme (C2 alan adını gizlemek için CDN üzerinden yönlendirin)
• Meşru görünen, web filtrelerince uygun kategorilere ayrılmış alan adları edinin
• Her çalışma için ayrı bir altyapı kullanın

Mavi ekipler C2'yi şu yollarla tespit eder:

• Olağandışı HTTP User-Agent dizeleri veya üst bilgileri
• Periyodik sinyal aralıkları (düzenli giden bağlantılar)
• Yeni kaydedilmiş veya itibarı düşük alan adlarına yönelik DNS sorguları
• Cobalt Strike/Sliver imzalarıyla eşleşen Yara kuralları
• Bellekte bilinen implant kalıplarını tarama

Yaygın C2 sömürü sonrası yetenekleri:

• Kimlik bilgilerini dökme (Mimikatz tümleştirmesi)
• Yanal hareket (WMI, PSExec, SMB)
• Kalıcılık (zamanlanmış görevler, kayıt defteri anahtarları)
• Ekran görüntüsü alma, tuş kaydedici, dosya tarayıcısı
• Ele geçirilmiş ana bilgisayarlar üzerinden geçiş

Cobalt Strike'ın uyarlanabilir C2 profilleri, işaret trafiğini meşru uygulamaları (Slack, Teams, OneDrive) taklit edecek şekilde özelleştirir. Ağ savunmaları varsayılan profillerle imza eşleştirmesi yapar; özel profiller bu imzalardan kaçınır.

C2 çerçeveleri, açık yazılı yetkilendirme gerektiren meşru sızma testi araçlarıdır. C2 çerçevelerinin yetkisiz hedeflere karşı kullanılması federal bir suçtur. Etkileşim kurallarının aşağıdakileri açıkça tanımladığından emin olun:

• İzin verilen ele geçirilmiş sistemlerin kapsamı
• Veri dışarı aktarma kısıtlamaları
• Kapsam dışı hedefler

IR ekipleri şunları arar:

• Olağandışı üst-alt işlem ilişkileri (Word'ün PowerShell'i başlatması)
• Dış ağ bağlantıları kuran LOLBin'ler
• Olay günlüklerinde kodlanmış PowerShell komutları
• Olağandışı adlara sahip zamanlanmış görevler veya hizmetler
• Bellekte Cobalt Strike filigranları (Beacon'da Team ID)

Cobalt Strike'ın hangi özelliği, operatörlerin işaret ağ trafiğini meşru hizmetleri taklit edecek ve tespitten kaçınacak şekilde özelleştirmesine olanak tanır?

C2 çerçeveleri (Cobalt Strike, Sliver), şifrelenmiş kanallar, sömürü sonrası modüller ve çoklu operatör desteğiyle ele geçirilmiş sistemlerdeki implantları yönetir. Uyarlanabilir C2 profilleri, meşru trafiği taklit ederek tespitten kaçar. Tespit göstergeleri: sinyal aralıkları, olağandışı DNS, Yara imzaları. Her zaman yazılı yetkilendirme gerekir; kötüye kullanım suçtur.