Command and Control

Command and Control est la onzième étape du framework MITRE ATT&CK. Le commandement et le contrôle concernent les techniques et les méthodes utilisées par les adversaires pour communiquer

avec les systèmes qu'ils ont compromis sur les réseaux cibles. Les adversaires utilisent diverses méthodes de commande et de contrôle et utiliseront des protocoles et des ports couramment utilisés pour se fondre dans le trafic normal, rendant ainsi le trafic malveillant plus difficile à identifier. Au moment de la rédaction du présent rapport, il existe un total de 16 techniques de commandement et de contrôle. Nous examinerons les points suivants :

• Protocole de couche d'application
• Service Web
• Port non standard

Protocole de couche d'application

MITRE Technique T1071

Les adversaires utilisent couramment des protocoles de couche application pour se fondre dans le trafic standard et pour éviter d'être détectés en tant que méthode de commande et de contrôle (C2). Les adversaires utilisent de nombreux protocoles différents, notamment HTTP, HTTPS, DNS et d'autres qui sont associés à la navigation Web standard ou à l'utilisation du courrier électronique. En examinant les sous-techniques du protocole de couche d'application, nous pouvons voir les méthodes couramment utilisées pour C2.

Cobalt Strike est une plateforme d'attaque populaire tant pour les testeurs de pénétration que pour les acteurs malveillants. Elle permet la communication entre les systèmes internes encapsulés dans SMB. Une fois que le trafic revient vers l'hôte qui renvoie à l'adresse IP de commande et de contrôle, il renvoie des informations à l'attaquant. Dragonfly 2.0 a également été observé en utilisant SMB comme méthode C2, et Duqu utilise un protocole C2 personnalisé qui est encapsulé dans des contrôles de couche application tels que HTTPS, DNS, etc.

La meilleure solution pour empêcher l'utilisation de cette technique consiste à utiliser les systèmes de détection et de prévention des intrusions sur le réseau (NIDS/NIPS) pour alerter en cas d'activité C2 suspectée ou pour prendre des mesures automatisées pour bloquer la connexion et éliminer efficacement l'adversaire du réseau (mais attention, l'acteur peut utiliser plusieurs méthodes de communication C2).

De nombreuses méthodes de détection peuvent être utilisées à cet effet. L'utilisation d'un système IDS tel que Suricata Zeek peut grandement y contribuer. Snort Zeek contient un type de journal nommé par défaut x509.log, qui extrait les informations de certificat consultées sur le réseau. Par défaut, les serveurs C2 peuvent utiliser les mêmes certificats par défaut. Sur votre outil SIEM, vous pouvez exécuter des requêtes à ce sujet et émettre des alertes en fonction d'une liste noire de « mauvais » certificats connus. Continuez à utiliser votre outil SIEM en recherchant les ports sur lesquels les machines peuvent être en train d'écouter, avec un service inconnu, qui peuvent ne pas être normaux pour cet hôte.

Une autre méthode de détection consiste à analyser les données du réseau pour détecter tout flux de données inhabituel, tel qu'un client qui envoie d'énormes quantités de données à une adresse IP externe. Posez les questions suivantes :

• Mon client doit-il communiquer directement via le réseau ?
• Combien de données a-t-il envoyé ?
• Y a-t-il eu d'autres trafics inhabituels sur cet hôte ?

Service Web

MITRE Technique T1102

Les adversaires peuvent utiliser un service Web externe légitime existant comme moyen de relayer des données vers/depuis un système compromis. Les sites Web populaires et les réseaux sociaux servant de mécanisme à C2 peuvent apporter une couverture importante en raison de la probabilité que les hébergeurs d'un réseau communiquent déjà avec eux avant la compromission. L'utilisation de services courants, tels que ceux proposés par Google ou Twitter, permet aux adversaires de se cacher plus facilement dans le bruit attendu. Les fournisseurs de services Web utilisent couramment le cryptage SSL/TLS, offrant ainsi aux cybercriminels un niveau de protection supplémentaire.

Il existe des exemples très intéressants de cette technique dans lesquels des adversaires ont utilisé des services légitimes pour communiquer avec des systèmes infectés au sein d'un réseau. FIN6 a déjà utilisé Pastebin pour héberger du contenu lié à des cyberopérations, Gamaredon Group héberge du code malveillant sur GitHub qui est ensuite téléchargé sur un système infecté par son exécutable .NET sur un système cible. Inception a fait appel à un grand nombre de fournisseurs de services cloud dans l'infrastructure C2 afin d'assurer la résilience et de garantir la continuité de ses activités même en cas de suppression d'une méthode.

Pour atténuer les communications malveillantes à l'aide des services Web, comme c'est le cas pour le protocole de couche application C2, les entreprises doivent déployer des systèmes de détection et de prévention des intrusions sur le réseau (NIDS/NIPS). Les systèmes de détection peuvent générer des alertes lorsqu'une activité suspecte est détectée, qui feront l'objet d'une enquête par des analystes de sécurité, tandis que les systèmes de prévention peuvent prendre des mesures automatisées pour bloquer ou réinitialiser les connexions et en informer l'équipe de sécurité. Les entreprises doivent également utiliser un proxy Web pour filtrer le trafic Web entrant et sortant, ce qui permet de mettre des domaines sur liste noire afin d'empêcher les connexions sortantes. Selon les activités commerciales de l'entreprise, il peut être possible de bloquer des sites tels que GitHub ou Pastebin pour empêcher qu'ils ne soient utilisés à des fins de commande et de contrôle ou d'exfiltration de données.

Pour détecter toute activité inhabituelle concernant les services Web, nous devons surveiller les flux de données inhabituels, tels qu'un client qui envoie à une ressource Web beaucoup plus de données qu'il n'en renvoie, ce qui est un indicateur typique d'un téléchargement. Les horodatages doivent

également être surveillés, car un employé travaillant de 9 h à 17 h qui se connecte à 4 h du matin un dimanche et visite GitHub est assez inhabituel et doit faire l'objet d'une enquête immédiate.

Port non standard

MITRE Technique T1571

Les adversaires peuvent communiquer à l'aide d'un protocole et d'un port qui ne sont généralement pas associés. Par exemple, HTTPS sur le port 8088 ou le port 587 par opposition au port 443 traditionnel. Les adversaires peuvent apporter des modifications au port standard utilisé par un protocole afin de contourner le filtrage ou de brouiller l'analyse/l'analyse des données du réseau.

Quelques exemples incluent APT33 utilisant HTTP sur 808 et 880 au lieu de 80, et le malware BADCALL utilise les ports 443 et 8000 à l'aide de FakeTLS (lisez le rapport d'analyse des malwares CISA ici, et CTRL+F « faux » pour en savoir plus sur FakeTLS !).

Ainsi, les deux autres techniques ci-dessus au NIDS/NIPS doivent être utilisées dans l'environnement pour alerter ou prendre des mesures en cas de trafic réseau suspect ou malveillant. Une segmentation appropriée doit être mise en œuvre à l'aide de pare-feux et de réseaux locaux virtuels afin de limiter les systèmes pouvant communiquer directement entre eux. Les pare-feux de périmètre

et les proxys doivent également contenir des restrictions quant aux ports utilisés pour les connexions sortantes, par exemple en autorisant uniquement le TCP 80 pour HTTP et 443 pour HTTPS.

L'inspection des paquets serait le meilleur moyen d'identifier les comportements inattendus du trafic réseau afin de les signaler pour inspection ou de les supprimer afin d'empêcher qu'ils ne quittent l'organisation. Des outils tels que Snort Bro/Zeek proposent cette fonctionnalité en utilisant des règles gratuites et communautaires.