C3

Build C3 (MSVC)/badge.svg?branch=master)

Build C3 (Clang)/badge.svg?branch=master)

C3 (Custom Command and Control) — это инструмент, который позволяет Red Teams быстро разрабатывать и использовать эзотерические каналы управления и контроля (C2). Это фреймворк, расширяющий другие инструменты Red Team, такие как коммерческий продукт Cobalt Strike (CS), через ExternalC2, поддержка которого включена в релиз. Он позволяет Red Team сосредоточиться только на том канале C2, который они хотят реализовать, полагаясь на надёжность C3 и инструментов CS для всего остального. Такая эффективность и надёжность позволяют Red Teams безопасно работать в критически важных клиентских средах (обеспечивая профессиональный уровень стабильности и безопасности), а также проводить безопасные эксперименты и быстро разворачивать адаптированные тактики, техники и процедуры (TTP). Таким образом, это даёт Red Teams возможность эмулировать и имитировать адаптивного реального злоумышленника.

Использование

Подробное руководство см. в этой записи блога.

Руководство по участию в разработке (как разрабатывать каналы) см. на этой странице.

Поддерживаемые каналы

Внешние каналы

Внутренние каналы

Обнаружение

• Охота за C3 (релизный блог)
• Основы обнаружения атак: лабораторная работа по C2 и эксфильтрации — Dropbox
• Основы обнаружения атак: лабораторная работа по обнаружению и горизонтальному перемещению — UNC Share File
• Использование и обнаружение C2-пивотинга через принтер
• Black Hat USA 2021 — «Я хакер, вытащите меня отсюда!»: разрушение сетевой сегрегации с помощью эзотерических каналов управления и контроля
• В погоне за уклоняющимся кастомным C2 — Guide M — ROOTCON
• YARA-правило — использование рефлективной DLL в C3
• Sigma-правило — запуск DLL C3
• Relay Rumbler — парсер конфигурации бинарных файлов ретранслятора C3

Глоссарий

Наиболее часто используемые термины в C3:

• Relays - автономные компоненты сетей C3. Они обмениваются данными через Interfaces. Существует два типа Relays: Gate Relays (или Gateways) и Node Relays.
• Gateway - особый Relay, управляющий одной сетью C3. Сеть C3 не может работать без действующего Gateway. Gateway является мостом от Node Relays обратно к инфраструктуре атакующего. Он также отвечает за связь со сторонним C2-сервером (например, Teamserver от Cobalt Strike). Gateways всегда должны размещаться в инфраструктуре, контролируемой атакующим.
• Node Relay - исполняемый файл, запускаемый на скомпрометированном хосте. взаимодействуют через либо друг с другом, либо обратно с .

Сборка

Чтобы установить необходимые пакеты для компиляции C3, в среду Visual Studio нужно добавить следующие отдельные компоненты. Это можно сделать с помощью VS setup.exe (например, "c:\Program Files (x86)\Microsoft Visual Studio\Installer\setup.exe"), выбрав «Изменить» и добавив указанные ниже отдельные компоненты:

• .NET 7.0
• .NET Core 3.1 Runtime (не поддерживается)
• MSVC v142 - VS 2019 C++ x64/x86 build tools
• (Необязательно) C++ Clang tools for Windows for clang builds
• (Необязательно) MSBuild support for LLVM (clang-cl) toolset

После установки этих компонентов запустите командную строку разработчика Visual Studio и выполните файл CreateBuild.bat. Результаты должны появиться в каталоге Builds.