Effektive C2-Beaconing-Erkennung

Um die Herausforderungen bei IPS-Lösungen zu veranschaulichen, hier eine der Snort-Regeln zur Erkennung des Zeus-Trojaners (Snort):

Abbildung 3: Snort-Regel (Zeus-Trojaner)

Snort und viele IPS-Lösungen ermöglichen verschiedene Übereinstimmungen von Inhalten oder Headern auf den Schichten 3 und 4 sowie auf Anwendungsebene, wie durch die Aktionsverben in der Regel angegeben. Viele Übereinstimmungen, wie z. B. die content Option rule, sind statische Byte-/Zeichenübereinstimmungen, während die pcre Option rule eine Übereinstimmung mit regulären Ausdrücken ist.

Wenn man sowohl die gegnerische Seite (z. B. das zuvor gezeigte C2 Malleable Profile für Gmail) als auch die defensive Seite (z. B. die Zeus-Snort-Regel) nebeneinander betrachtet, wird das statische, fest codierte Matching und die Fragilität deutlich. Stellen Sie sich vor, ein Angreifer hätte eine neue Zeus-Variante erstellt und bereitgestellt, die Cobalt Strike verwendet, und ein Snort-IPS verfügt über die oben genannte Zeus-Regel, die die neue Malware effektiv erkennt. Der Angreifer kann leicht ein Zeichen im Profil ändern, z. B. ein Leerzeichen hinzufügen MSIE , um eine Übereinstimmung zu vermeiden: content:"|3B 20|MSIE|20|"; und die Malware könnte die IPS-Signatur umgehen.

Es gibt zwar eine kontextbezogene Erkennung und Zustandsverfolgung, aber der IPS-Signaturansatz ist aufgrund seiner statischen Übereinstimmung von Natur aus eingeschränkt, was zu falsch negativen Ergebnissen und einer einfachen Umgehung führt (das buchstäbliche Ändern eines Zeichens in einem Feld könnte eine IPS-Regel umgehen).

Das soll nicht heißen, dass IPS-Lösungen nicht nützlich sind. Vielmehr sollten IPS-Signaturen beibehalten werden, da sie einer nützlichen Perimeterverteidigung dienen und viele bekannte Netzwerk-Exploits schnell und effizient blockieren. Selbst wenn ein IPS nur eine Erkennungsrate von 60 % erreicht, können diese 60 % in diesem Fall einfach blockiert/gewarnt werden, wodurch eine kostspielige nachgelagerte Verarbeitung vermieden wird.

Andere traditionelle Ansätze, wie z. B. die Verwendung von Sperrlisten (IP oder URLs), werden häufig angewendet, um den ersten Zugriff oder das Herunterladen von Malware beim Surfen im Internet zu verhindern und potenziellen C2-Datenverkehr zu blockieren.

Eine häufige Herausforderung bei Sperrlisten besteht darin, dass sie oft veraltet sind, was zu Fehlalarmen führt, und insofern reaktiv sind, als sie nach der Kompromittierung von Ziel #1 oder Patient Null aktualisiert werden.

Dies wird durch IP-/Domänenindirektionstechniken verschärft, die verwendet werden, um die Domäne oder IP-Adresse des C2-Servers zu verbergen. Cobalt Strike verfügt über Redirectors, die so einfach wie IP-Proxys sein können, um die wahre Domain oder IP des C2-Servers zu verschleiern. Es gibt auch andere Techniken wie Domain-Fronting mit CDNs oder Domain-Masquerading, die sich TLS (SNI) und HTTPS (Host) Diskrepanzen zunutze machen, um die endgültige bösartige Domain vor einigen URL-Sicherheitsfiltern zu verbergen.

Ein anderer Ansatz beinhaltet die Verwendung von Heuristiken, die in der Regel auf Netzwerkdatenverkehrsmuster basierend auf Volumen oder Zeit angewendet werden. Das klassische Beispiel besteht darin, regelmäßige ausgehende Kommunikation (z. B. alle 60 Minuten) zu erkennen, z. B. zu einer IP-Adresse ohne registrierten DNS-A-Eintrag.

Um der Erkennung zu entgehen, ermöglichen die C2-Framework-Toolkits die einfache Konfiguration eines Zufallsfaktors in der Beaconing-Verzögerung mithilfe der Jitter-Einstellung in einem Cobalt Strike Mformable Profile:

Abbildung 4: C2 Malleable Profile Einstellungen (Beaconing-Timing)

Diese Einstellungen geben ein Call-Home-Intervall von 60 Sekunden +/- 15 % an, was bedeutet, dass das tatsächliche Intervall zwischen 51 und 69 Sekunden liegt, wodurch einfache Überprüfungen auf wiederkehrendes Beaconing in konstanten Intervallen vermieden werden.

Das Problem bei den derzeitigen Ansätzen besteht darin, dass sie formbare C2-Kommunikationen nicht effektiv erkennen und selbst bei gezielter Abstimmung leicht umgangen werden können. Sie erfüllen einen Zweck bei der effizienten Erkennung von Angriffstechniken, die statisch mit bekannten Indikatoren sind, aber dynamischere oder ausgefeiltere Angriffe übersehen oder eine große Anzahl von Fehlalarmen erzeugen.

Ein Datenpunkt: Beim Testen der gängigsten Cobalt Strike C2-Formbarprofile aus öffentlichen Repositorys erkannten Out-of-the-Box-IPS-Lösungen wie Snort und Suricata deutlich weniger als 20 % der C2-Kommunikation aus den gängigsten C2-Framework-Toolkits.