Imaginary C2

著者: Felix Weyne (ウェブサイト) (Twitter)

Imaginary C2は、マルウェアの行動（ネットワーク）分析を支援するPythonツールです。
Imaginary C2は、選択したドメイン/IPへのHTTPリクエストをキャプチャするHTTPサーバーをホストします。さらに、このツールはキャプチャしたC2（コマンド＆コントロール）応答や配信ペイロードを簡単に再生できるようにすることを目的としています。

このツールを使用することで、アナリストはマルウェアに一貫したネットワーク応答（例：マルウェアが実行するC&C指示）を提供できます。また、分析時にオフラインとなっているドメイン/IPへのHTTPリクエストをキャプチャして検査することもできます。

パケットキャプチャの再生

Imaginary C2は、パケットキャプチャ（PCAP） または Fiddlerセッションアーカイブ をimaginary C2で解析可能な リクエスト定義 に変換する2つのスクリプトを提供します。
これらのスクリプトを使用すると、ユーザーはHTTPリクエストのURLとドメイン、およびHTTP応答を抽出できます。これにより、特定のHTTPリクエストに対するHTTP応答を迅速に再生できます。

技術詳細

要件： Imaginary C2はPython 2.7とWindowsが必要です。
モジュール： 現在、Imaginary C2には3つのモジュールと2つの設定ファイルが含まれています：

リクエスト定義： リクエスト設定で定義された各（HTTP）リクエストは、2つのパラメータで構成されます：

パラメータ1： HTTPリクエストURLパス （別名urlType）

パラメータ2： HTTP応答ソース （別名sourceType）

デモユースケース：TrickBotサーバーのシミュレーション

Imaginary C2は、TrickBotコンポーネントや設定ファイルのホスティングをシミュレートするために使用できます。さらに、TrickBotのWebインジェクションサーバーのシミュレートにも使用できます。

動作の仕組み：

実行時、TrickBotダウンローダーはハードコードされた一連のIPに接続して、いくつかの設定ファイルを取得します。これらの設定ファイルの1つには、TrickBotプラグインサーバーの位置（IPアドレス）が含まれています。TrickBotダウンローダーはこれらのサーバーからプラグイン（モジュール）をダウンロードし、復号します。復号されたモジュールは_svchost.exe_インスタンスに注入されます。

TrickBotのプラグインの1つは_injectdll_と呼ばれ、TrickBotのWebインジェクションを担当するプラグインです。_injectdll_プラグインは定期的に更新されたWebインジェクション設定を取得します。設定内の各標的（銀行）Webサイトに対して、_webfakeサーバー_のアドレスが定義されています。被害者がTrickBotに標的とされた（銀行）Webサイトにアクセスすると、被害者のブラウザは秘密裏に_webfakeサーバー_にリダイレクトされます。_webfakeサーバー_は標的Webサイトのレプリカをホストしています。このレプリカWebサイトは通常、ソーシャルエンジニアリング攻撃で被害者を欺くために使用されます。

Imaginary C2の動作：

以下の動画は、_svchost.exe_内で実行されるTrickBotダウンローダーがimaginary C2に接続して2つのモジュールをダウンロードする様子を示しています。ダウンロードされた各モジュールは、新たに生成された_svchost.exe_インスタンスに注入されます。Webインジェクションモジュールはブラウザの保存済みパスワードを盗もうとし、盗んだパスワードをTrickBotサーバーに流出させます。標的の銀行Webサイトにアクセスすると、TrickBotはブラウザを_webfakeサーバー_にリダイレクトします。デモでは、_webfakeサーバー_は「デフォルトのImaginary C2サーバー応答」というメッセージをホストしています(フル動画)。