Canaux internes

Détection

• Recherche de C3 (blog de version)
• Fondamentaux de la détection d'attaque - Atelier C2 et exfiltration - Dropbox
• Fondamentaux de la détection d'attaque - Atelier découverte et mouvement latéral - Fichier de partage UNC
• Utilisation et détection du pivotement d'imprimante C2
• Black Hat USA 2021 - Je suis un hacker, sortez-moi d'ici ! Briser la segmentation réseau en utilisant des canaux de commande et contrôle ésotériques
• À la poursuite de commande et contrôle personnalisée et évasive - Guide M - ROOTCON
• Règle YARA - Utilisation de DLL réflective C3
• Règle Sigma - Lancement de DLL C3
• Relay Rumbler - Analyseur de configuration binaire de relais C3

Glossaire

Les termes les plus couramment utilisés dans C3 :

• Relays - éléments autonomes des réseaux C3. Ils communiquent à l'aide d'Interfaces. Il existe deux types de Relays : les Gate Relays (ou Gateways) et les Node Relays.
• Gateway - un Relay spécial qui contrôle un réseau C3. Un réseau C3 ne peut pas fonctionner sans un Gateway opérationnel. Le Gateway est le pont de retour vers l'infrastructure de l'attaquant depuis les Node Relays. Il est également responsable de la communication de retour vers un serveur C2 tiers (comme le Teamserver de Cobalt Strike). Les Gateways doivent toujours être hébergés dans une infrastructure contrôlée par l'attaquant.
• Node Relay - un exécutable à lancer sur un hôte compromis. Les Node Relays communiquent via des Devices, soit entre eux, soit de retour vers le Gateway.
• Interface - un nom de haut niveau donné à tout ce qui facilite l'envoi et la réception de données au sein d'un réseau C3. Elles sont toujours connectées à un Relay et leur but est d'étendre la capacité du Relay. Il existe actuellement trois types d'Interfaces : les Channels, les Peripherals et les Connectors.
• Devices - nom commun pour les Channels et les Peripherals. Cette abstraction est créée pour généraliser les Interfaces qui peuvent être utilisées sur les Node Relays.
• Channel - une Interface utilisée pour transporter des données entre deux Relays. Les Channels fonctionnent par paires et ne prennent pas en charge la transmission un-à-plusieurs (voir Negotiation Channels).
• Negotiation Channel - un Channel spécial capable d'établir des connexions Channel régulières avec plusieurs Relays. Le processus de négociation est entièrement automatique. Les Negotiation Channels ne prennent en charge que le protocole de négociation et ne peuvent être utilisés pour aucune autre transmission.
• Gateway Return Channel (GRC) - le Channel configuré qu'un Relay utilisera pour renvoyer des données au Gateway. Le GRC peut être une route via un autre Relay. Le premier Channel (initial) sur un Node Relay est automatiquement défini comme GRC pour ce Node Relay.
• C3 Minimal MTU - la portion minimale de données que chaque Channel C3 est tenu de pouvoir envoyer. Actuellement, C3 Minimal MTU est égal à 64 octets. À moins qu'un bloc de moins de 64 octets ne contienne un paquet complet, le Relai récepteur l'ignore et le Relai émetteur tente de renvoyer la dernière portion de données.
• Peripherals - une implantation tierce d'un framework de commande et contrôle. Les Peripherals communiquent avec leurs contrôleurs natifs via un Controller. Par exemple, le beacon SMB de Cobalt Strike.
• Connectors - une intégration avec un framework de commande et contrôle tiers. Par exemple, l'interface « External C2 » exposée par le Teamserver de Cobalt Strike via la commande externalc2_start.
• Binders - nom commun pour les Peripherals et les Connectors.
• Device ID - un ID dynamique qui identifie de manière unique un Device sur un Relay.
• Agent ID - un ID dynamique qui identifie de manière unique un Node Relay. Les Node Relays instanciés à partir du même exécutable auront des Agent IDs différents.
• Build ID - un ID statique intégré dans chaque Relay. Reste inchangé après les redémarrages.
• Route ID - une paire d'un Agent ID et d'un Device ID. Utilisé pour décrire un « chemin » vers un Node Relay (les Node Relays peuvent être accessibles via plusieurs Routes).
• Route - un « chemin » vers un Node Relay. Chaque Relay maintient une table de tous ses Relays enfants (et petits-enfants, arrière-petits-enfants, etc.) ainsi que les Device IDs des Channels utilisés pour atteindre ce Relay particulier (voir Route ID). Lorsqu'un paquet du Gateway arrive à un Node Relay, la table de routage est utilisée pour choisir le Channel approprié pour envoyer le paquet au destinataire.
• Update Delay Jitter - délai entre les mises à jour successives d'une Interface (dans le cas des Channels : appels à la méthode OnReceiveFromChannel). Peut être paramétré pour être randomisé dans une plage de valeurs temporelles fournie.

Compilation

Pour installer les paquets nécessaires à la compilation de C3, les composants individuels suivants doivent être ajoutés à l'environnement Visual Studio. Cela peut être réalisé en utilisant le setup.exe de VS (par exemple "c:\Program Files (x86)\Microsoft Visual Studio\Installer\setup.exe"), en sélectionnant Modifier et en ajoutant les composants individuels suivants :

• .NET 7.0
• .NET Core 3.1 Runtime (hors support)
• MSVC v142 - VS 2019 C++ x64/x86 build tools
• (Facultatif) Outils C++ Clang pour Windows pour les builds clang
• (Facultatif) Prise en charge MSBuild pour l'ensemble d'outils LLVM (clang-cl)

Une fois ces composants installés, lancez l'invite de commandes développeur Visual Studio et exécutez le fichier CreateBuild.bat. La sortie devrait se trouver dans le répertoire Builds.