Las comunicaciones de Command and Control (C2) son fundamentales para que los atacantes mantengan el control sobre los sistemas comprometidos, dirigiéndolos para ejecutar actividades maliciosas o filtrar datos. Estas comunicaciones representan una fase crítica en el ciclo de vida del ataque, permitiendo un acceso persistente y sigiloso al entorno de la víctima. Esta guía destaca la importancia de identificar e interrumpir las comunicaciones C2 para mitigar las amenazas y salvaguardar los activos de la organización.
En cualquier ataque basado en red, el atacante se apoya en un canal de mando y control (C2) para llevar a cabo sus acciones. Al desplegar software malicioso en una máquina anfitriona, establecen una conexión con un servidor externo. Sorprendentemente, son las instrucciones recibidas del servidor externo las que dictan las acciones realizadas por la máquina host infectada, permitiendo al atacante progresar en su ataque.
Herramientas de comando y control, como Cobalt Strike y Metasploit, son utilizadas habitualmente por los atacantes. Estas herramientas admiten el cifrado del canal y emplean técnicas como el dominio frontal y la fluctuación de sesión para evadir la detección.
Vectra AI adopta un enfoque diferente para detectar canales de mando y control. Independientemente de las técnicas de cifrado o evasión, el enfoque de seguridad de Vectra garantiza la detección. En lugar de basarse en un enfoque matemático, el equipo de investigación de seguridad de Vectra se centra en los patrones de comportamiento.
Al estudiar el comportamiento de un canal de mando y control, el equipo de Vectra identificó que los indicadores más claros residen en la forma del tráfico de red a lo largo del tiempo. Al analizar estos datos de series temporales, los científicos de datos de Vectra emplearon modelos de aprendizaje profundo, concretamente LSTM (memoria a largo plazo), que sobresalen en la comprensión de eventos a diferentes escalas temporales. Esto permite a Vectra identificar con eficacia la naturaleza de una conversación de mando y control, independientemente de las herramientas específicas utilizadas.
Veamos a continuación un ejemplo representativo de tráfico benigno procedente de un sistema externo.
En el ejemplo anterior, vemos una máquina anfitriona que envía señales regulares a un servidor externo. Estas señales, conocidas como balizas, son utilizadas habitualmente por diversos servicios para mantener los sistemas conectados y comunicarse eficazmente.
Sin embargo, las balizas también pueden explotarse con fines maliciosos. Es importante entender las sutiles diferencias entre un uso legítimo de las balizas, como en los teletipos de bolsa o las aplicaciones de chat, y cuando se utilizan para canales maliciosos de mando y control.
Exploremos un caso concreto de túnel cifrado malicioso para comprender mejor el concepto:
¿Observa los patrones distintivos en el gráfico anterior? Estos picos indican los comandos enviados por el atacante y la respuesta del sistema infectado. El pico inicial en «bytes recibidos» se produce sin previo aviso y es seguido inmediatamente por la reacción de la máquina infectada.
Al analizar estos patrones, los científicos de datos de Vectra han descubierto una forma eficaz de reconocer este comportamiento. Los datos de series temporales que representan el comportamiento del canal de comando y control comparten similitudes con los datos utilizados en el reconocimiento de voz y el procesamiento del lenguaje natural. Esta similitud ha llevado al equipo a adoptar un modelo de aprendizaje profundo para la identificación.
Vectra utiliza un potente tipo de red neuronal conocida como LSTM (memoria a corto plazo) para detectar comportamientos de ataque. Esta arquitectura especializada es experta en el análisis de eventos en múltiples marcos temporales, lo que permite una comprensión exhaustiva de los datos de las conversaciones de mando y control. La LSTM se entrena con una amplia gama de muestras reales y generadas algorítmicamente, capturando diversos escenarios, herramientas, configuraciones y entornos. Como resultado, el modelo es capaz de identificar los patrones generales indicativos de un canal de control, independientemente de las herramientas específicas empleadas.
El enfoque algorítmico utilizado en este análisis fue posible gracias a la forma en que Vectra formatea los datos de las sesiones de red. Aunque Vectra puede proporcionar metadatos similares a los de Zeek, su analizador personalizado va más allá de las capacidades estándar de Zeek al ofrecer un análisis de las comunicaciones de red en intervalos de sub-segundos. Este nivel de detalle permite una visibilidad clara tanto de las comunicaciones benignas como de las maliciosas, lo que permite a los equipos de ciencia de datos de Vectra utilizar los algoritmos más eficaces para una amplia gama de problemas.
La combinación de metadatos exclusivos y sofisticados algoritmos permite a Vectra identificar eficazmente a los atacantes. Al centrarse en los datos de comunicación en sí, y no sólo en las señales superficiales, este enfoque sigue siendo resistente a los cambios en las herramientas de los atacantes e incluso al tráfico cifrado. Además, la clara señal de comportamiento elimina la necesidad de filtros de supresión que pueden filtrar inadvertidamente información importante o acciones furtivas de los atacantes.
Las comunicaciones de Command and Control son la piedra angular de los ciberataques, por lo que requieren estrategias proactivas de detección e interrupción. Vectra AI ofrece soluciones avanzadas que permiten a los equipos de seguridad detectar, investigar y neutralizar las amenazas C2 en tiempo real. Póngase en contacto con nosotros hoy mismo para mejorar su defensa contra ciber adversarios sofisticados y proteger sus activos críticos.
Las comunicaciones C2 son métodos utilizados por los atacantes para mantener la comunicación con sistemas comprometidos dentro de una red objetivo. Estos canales permiten a los atacantes emitir órdenes, robar datos y desplegar malware adicional.
Las comunicaciones C2 suelen funcionar estableciendo una conexión remota entre el servidor del atacante y el sistema comprometido. Esto puede lograrse a través de varios protocolos como HTTP, HTTPS, DNS o protocolos personalizados.
La detección de las comunicaciones C2 es un reto debido a su naturaleza a menudo sigilosa, el uso de cifrado y la imitación del tráfico de red legítimo, lo que les ayuda a eludir los métodos de detección tradicionales.
Entre los indicadores comunes se incluyen el tráfico de red saliente inusual, las conexiones repetidas a las mismas direcciones IP o dominios, los flujos de datos irregulares y las direcciones IP o dominios maliciosos conocidos.
Las organizaciones pueden utilizar una combinación de detección y respuesta de puntos finales (EDR), análisis del tráfico de red (NTA o NDR), sistemas de detección de intrusiones (IDS) y fuentes de inteligencia sobre amenazas para detectar anomalías y patrones C2 conocidos.
La inteligencia sobre amenazas proporciona información sobre direcciones IP maliciosas conocidas, dominios y firmas asociadas a las comunicaciones C2, lo que permite a los equipos de seguridad identificar y bloquear estas amenazas con mayor eficacia.
Los atacantes ocultan las comunicaciones C2 utilizando técnicas como algoritmos de generación de dominios (DGA), redes de flujo rápido y cifrado para ocultar su tráfico dentro de la actividad normal de la red.
Sí, el sandboxing puede ayudar a identificar comunicaciones C2 aislando archivos o URL sospechosos en un entorno controlado para observar su comportamiento, incluidos los intentos de establecer conexiones remotas.
Las comunicaciones C2 no controladas pueden provocar filtraciones de datos, pérdidas financieras, interrupciones operativas y el compromiso a largo plazo de la infraestructura de red.
La respuesta a incidentes es fundamental para contener y mitigar los daños de las comunicaciones C2. Una respuesta rápida puede evitar la filtración de datos, la propagación de malware y un mayor compromiso del sistema.