Detecção eficaz de sinalização de CO2

Para ilustrar os desafios das soluções IPS, aqui está uma das regras do Snort para detectar o Zeus Trojan (Snort):

Figura 3: Regra do Snort (Zeus Trojan)

O Snort e muitas soluções IPS permitem várias combinações de conteúdo ou cabeçalhos nas camadas 3 e 4, bem como no nível do aplicativo, conforme indicado pelos verbos de ação na regra. Muitas correspondências, como a opção de regra de conteúdo, são correspondências estáticas de byte/caractere, enquanto a opção de regra pcre é uma correspondência de expressão regular.

Ao olhar lado a lado tanto para o lado adversário (por exemplo, o perfil maleável C2 para o Gmail visto anteriormente) quanto para o lado defensivo (por exemplo, a regra de bufo de Zeus), a correspondência estática e a fragilidade codificadas ficam claras. Imagine que um invasor tenha criado e implantado uma nova variante do Zeus que usava o Cobalt Strike e um Snort IPS tivesse a regra Zeus acima em vigor que detectou efetivamente o novo malware. O invasor poderia facilmente alterar um caractere no perfil, como adicionar um espaço no MSIE para evitar a correspondência: content: " |3B 20|MSIE|20| "; e o malware poderia escapar da assinatura IPS.

Embora haja consciência contextual e rastreamento de estado, a abordagem de assinatura IPS é inerentemente limitada devido à sua correspondência estática, que resulta em falsos negativos e fácil evasão (alterar literalmente um caractere em um campo pode ignorar uma regra de IPS).

Isso não quer dizer que as soluções IPS não sejam úteis. Em vez disso, as assinaturas IPS devem ser mantidas, pois servem como uma defesa de perímetro útil, bloqueando muitas explorações de rede conhecidas de maneira rápida e eficiente. Nesse caso, mesmo que um IPS alcance taxas de detecção de apenas 60%, esses 60% podem ser bloqueados/alertados facilmente, evitando o dispendioso processamento posterior.

Outras abordagens tradicionais, como o uso de listas de bloqueio (IP ou URLs), geralmente são aplicadas em um esforço para impedir o acesso ou o download inicial de malware durante a navegação na web, bem como para bloquear o tráfego potencial de C2.

Um desafio comum com as listas de bloqueio é que elas geralmente estão desatualizadas, causando falsos positivos e são reativas, pois são atualizadas após o comprometimento da meta #1 ou do paciente zero.

Isso é exacerbado pelas técnicas de indireção de IP/domínio usadas para ocultar o domínio ou endereço IP do servidor C2. O Cobalt Strike tem redirecionadores, que podem ser tão simples quanto proxies IP, para ofuscar o verdadeiro domínio ou IP do servidor C2. Também existem outras técnicas, como fronting de domínio usando CDNs ou mascaramento de domínio, que aproveitam as incompatibilidades entre TLS (SNI) e HTTPS (host) para ocultar o domínio malicioso final de alguns filtros de segurança de URL.

Uma abordagem diferente envolve o uso de heurística, normalmente aplicada a padrões de tráfego de rede com base no volume ou no tempo. O exemplo clássico é detectar comunicações de saída regulares (por exemplo, a cada 60 minutos), talvez para um endereço IP sem registro DNS A registrado.

Para evitar a detecção, os kits de ferramentas da estrutura C2 permitem a fácil configuração de um fator aleatório no atraso de sinalização usando a configuração de jitter em um perfil maleável Cobalt Strike:

Figura 4: Configurações do perfil maleável C2 (tempo de sinalização)

Essas configurações especificam um intervalo de call home de 60 segundos +/- 15%, o que significa que o intervalo real variará de 51 a 69 segundos, evitando verificações simples de sinalização recorrente em intervalos constantes.

O problema com as abordagens atuais é que elas não detectam com eficácia as comunicações C2 maleáveis e são facilmente evitadas, mesmo se ajustadas especificamente. Eles servem para detectar com eficiência técnicas de ataque que são estáticas com indicadores conhecidos, mas perdem ataques mais dinâmicos ou sofisticados ou criam um grande número de falsos positivos.

Como ponto de dados, ao testar os perfis maleáveis Cobalt Strike C2 mais comuns em repositórios públicos, soluções IPS prontas para uso, como Snort e Suricata, detectaram substancialmente menos de 20% das comunicações C2 dos kits de ferramentas de estrutura C2 mais comuns.

Mesmo depois de adicionar regras específicas para corresponder ao maior número possível de perfis públicos, otimizando para esse teste específico, a cobertura só poderia aumentar razoavelmente para ~ 60% sem introduzir falsos positivos significativos que seriam muito problemáticos em um ambiente de produção.

Existem vários problemas de eficácia: não apenas falsos positivos mais altos, mas também a configuração resultante é construída rigidamente para o teste específico em questão e é facilmente evitada por meio de pequenos ajustes nos perfis. E no final do dia, ainda existem ~ 40% dos perfis que permanecem sem serem detectados, o que é uma taxa de falsos negativos muito alta. Sem falar nos falsos negativos adicionais de um determinado atacante que personaliza os perfis C2 para imitar aplicativos conhecidos existentes de uma forma um pouco diferente.