एडवांसरी टैक्टिक्स, तकनीक और सामान्य ज्ञान (ATT @ CK) सीखें। एंटरप्राइज टैक्टिक्स। भाग ११

कमान और नियंत्रण

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10. बहिष्कार
भाग 11. कमान और नियंत्रण

"कमांड एंड कंट्रोल" सेक्शन ( संक्षिप्त नाम - C2, C & C ) एंटरप्राइज़ के लिए ATT & CK मैट्रिक्स में शुरू की गई अटैक चेन का अंतिम चरण है।

कमांड और नियंत्रण में ऐसी तकनीकें शामिल हैं जिनके द्वारा दुश्मन हमले किए गए नेटवर्क से जुड़े और नियंत्रण में प्रणालियों के साथ संचार करता है। सिस्टम के कॉन्फ़िगरेशन और लक्ष्य नेटवर्क की टोपोलॉजी के आधार पर, गुप्त चैनल C2 को व्यवस्थित करने के कई तरीके हैं। बिल्ली के नीचे सबसे आम तकनीकों का वर्णन किया गया है। सी 2 को रोकने और पता लगाने के उपायों के संगठन पर सामान्य सिफारिशें एक अलग ब्लॉक में उजागर की जाती हैं और अनुभाग के अंत में रखी जाती हैं।


लेख में दी गई जानकारी को लागू करने के संभावित परिणामों के लिए लेखक जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री का मुफ़्त रीटेलिंग है।

आम बंदरगाह

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: फ़ायरवॉल को बायपास करने और सामान्य नेटवर्क गतिविधि के साथ दुर्भावनापूर्ण ट्रैफ़िक को मिक्स करने के लिए, एक विरोधी आमतौर पर नियमित अनुप्रयोगों द्वारा उपयोग किए जाने वाले मानक बंदरगाहों के माध्यम से हमला प्रणाली के साथ संवाद कर सकता है:
TCP: 80 (HTTP)
TCP: 443 (HTTPS)
TCP: 25 (SMTP)
TCP/UDP: 53 (DNS)

दुश्मन एन्क्लेव के भीतर नेटवर्क कनेक्शन के आयोजन के लिए बंदरगाहों के उदाहरण, उदाहरण के लिए, प्रॉक्सी सर्वर और अन्य नोड्स के बीच) हैं:
TCP/UDP: 135 (RPC)
TCP/UDP: 22
TCP/UDP: 3389

हटाने योग्य मीडिया के माध्यम से संचार

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक विरोधी एक C2 बुनियादी ढांचे को हटाने योग्य भंडारण मीडिया का उपयोग करके सिस्टम से सिस्टम में आदेशों को स्थानांतरित करने के लिए शारीरिक रूप से अलग नोड्स के बीच व्यवस्थित कर सकता है। दोनों प्रणालियों से समझौता किया जाना चाहिए। इंटरनेट कनेक्शन वाली प्रणाली में पहले से समझौता किए जाने की सबसे अधिक संभावना है, और हटाने योग्य मीडिया के माध्यम से मैलवेयर की प्रतिकृति द्वारा पार्श्व आंदोलन के दौरान दूसरी प्रणाली से समझौता किया जाता है ( भाग 8 देखें)। कमांड और फ़ाइलों को एक इंटरनेट कनेक्शन के साथ एक पृथक सिस्टम से एक सिस्टम में रिले किया जाएगा, जिसमें विरोधी की सीधी पहुंच है।

सुरक्षा सिफारिशें: हटाने योग्य उपकरणों के ऑटोरन को अक्षम करें। संगठनात्मक नीति स्तर पर हटाने योग्य मीडिया के उपयोग को प्रतिबंधित या प्रतिबंधित करें। हटाने योग्य मीडिया को जोड़ने पर निष्पादित होने वाली प्रक्रियाओं का एक ऑडिट व्यवस्थित करें।

प्रॉक्सी के माध्यम से कनेक्शन (कनेक्शन प्रॉक्सी)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक प्रॉक्सी सर्वर को हमलावरों द्वारा नेटवर्क ट्रैफ़िक को सिस्टम के बीच पुनर्निर्देशित करने या नेटवर्क संचार के लिए मध्यस्थ के रूप में उपयोग किया जा सकता है। कई उपकरण (जैसे HTRAN, ZXProxy, और ZXPortMap) आपको ट्रैफ़िक या फ़ॉरवर्ड पोर्ट को पुनर्निर्देशित करने की अनुमति देते हैं।

परदे के पीछे की अवधारणा भी सहकर्मी से सहकर्मी (पी 2 पी), जाल नेटवर्क, या नेटवर्क के बीच विश्वसनीय कनेक्शन में ट्रस्ट शामिल कर सकती है। एक नेटवर्क एक संगठन के भीतर या ट्रस्टों वाले संगठनों के बीच हो सकता है। एक विरोधी C2 चैनल को नियंत्रित करने के लिए नेटवर्क ट्रस्ट का उपयोग कर सकता है, एक साथ आउटगोइंग नेटवर्क कनेक्शन की संख्या को कम कर सकता है, दोष सहिष्णुता प्रदान कर सकता है, या संदेह से बचने के लिए विश्वसनीय कनेक्शन का उपयोग कर सकता है।

कस्टम कमांड और कंट्रोल प्रोटोकॉल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक हमलावर एक मौजूदा मानक अनुप्रयोग परत प्रोटोकॉल में कमांड / डेटा को एन्कैप्सुलेट करने के बजाय अपने स्वयं के नेटवर्क प्रोटोकॉल का उपयोग करके एक सी 2 चैनल का आयोजन कर सकता है। दुश्मन C2 प्रोटोकॉल कार्यान्वयन टीसीपी / आईपी या किसी अन्य मानक नेटवर्क स्टैक में प्रस्तुत किए गए बुनियादी प्रोटोकॉल से अधिक प्रसिद्ध प्रोटोकॉल या उपयोगकर्ता प्रोटोकॉल (कच्चे-सॉकेट सहित) की नकल कर सकता है।

कस्टम क्रिप्टोग्राफिक प्रोटोकॉल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: C2 चैनल के माध्यम से प्रेषित यातायात को छिपाने के लिए, विरोधी अपने स्वयं के क्रिप्टोग्राफ़िक प्रोटोकॉल या एन्क्रिप्शन एल्गोरिथ्म का उपयोग कर सकता है। एक साधारण योजना, जैसे कि एक निश्चित कुंजी के साथ सादे पाठ के XOR एन्क्रिप्शन, सिफरटेक्स्ट (यद्यपि बहुत कमजोर) देगा।

स्वामित्व एन्क्रिप्शन योजनाएं जटिलता में भिन्न हो सकती हैं। मैलवेयर नमूनों के विश्लेषण और रिवर्स इंजीनियरिंग का उपयोग सफलतापूर्वक उपयोग किए गए एल्गोरिदम और एन्क्रिप्शन कुंजी का पता लगाने के लिए किया जा सकता है। कुछ हमलावर एक प्रसिद्ध पुस्तकालय का उपयोग करने के बजाय एक प्रसिद्ध क्रिप्टोग्राफ़िक एल्गोरिथम के अपने संस्करण को लागू करने का प्रयास कर सकते हैं, जिससे दुश्मन सॉफ़्टवेयर के संचालन में अनपेक्षित त्रुटियां हो सकती हैं।

सुरक्षा सिफारिशें: यदि मैलवेयर सममित कुंजियों के साथ अपने स्वयं के एन्क्रिप्शन का उपयोग करता है, तो नेटवर्क ट्रैफ़िक को डीकोड करने और मैलवेयर हस्ताक्षरों की पहचान करने के लिए उनका उपयोग करने के लिए सॉफ़्टवेयर नमूनों से एल्गोरिथ्म और कुंजी प्राप्त करना संभव है।

डेटा एनकोडिंग

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: C2 चैनल पर प्रसारित जानकारी मानक डेटा एन्कोडिंग सिस्टम का उपयोग करके एन्कोडेड है। डेटा एन्कोडिंग का उपयोग मौजूदा प्रोटोकॉल विनिर्देशों का पालन करना है और इसमें ASCII, यूनिकोड, बेस 64, माइम, यूटीएफ -8 या अन्य बाइनरी टेक्स्ट और चरित्र एन्कोडिंग का उपयोग शामिल है। कुछ एन्कोडिंग सिस्टम, जैसे कि gzip, इसके अतिरिक्त डेटा को संपीड़ित कर सकते हैं।

डेटा का विरोध

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: चैनल C2 में डेटा को छिपाया जा सकता है (लेकिन जरूरी नहीं कि एन्क्रिप्शन का उपयोग किया जाए) ताकि ट्रांसमिटेड कंटेंट का पता लगाना और उसे डिक्रिप्ट करना मुश्किल हो, साथ ही कम्यूनिकेशन प्रोसेस को कम नजर आए और ट्रांसमिट किए गए कमांड्स को छिपा सके। कई अतिक्रमण विधियां हैं, जैसे प्रोटोकॉल ट्रैफ़िक में अनावश्यक डेटा जोड़ना, स्टेग्नोग्राफ़ी का उपयोग करना, सी 2 ट्रैफ़िक के साथ वैध ट्रैफ़िक का संयोजन करना या गैर-मानक डेटा एन्कोडिंग सिस्टम का उपयोग करना, उदाहरण के लिए, HTTP HTTP संदेश के शरीर में एक संशोधित Base64।

किसी कनेक्शन का अंतिम पता छिपाते हुए (डोमेन फ्रन्टिंग)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: डोमेन फ्रन्टिंग का सार सीडीएन नेटवर्क (कंटेंट डिलीवरी नेटवॉक) में HTTP पैकेट के वास्तविक गंतव्य पते को छिपाने की क्षमता है।

उदाहरण: डोमेन X और डोमेन Y है, जो समान CDN के ग्राहक हैं। TLS हेडर में डोमेन X एड्रेस के साथ एक पैकेट और HTTP हेडर में डोमेन Y एड्रेस की संभावना सबसे अधिक डोमेन Y पते पर वितरित की जाएगी, भले ही स्रोत और गंतव्य पते के बीच नेटवर्क संचार निषिद्ध हो।

एक HTTP पैकेट में हेडर के दो सेट होते हैं: पहला, TLS, पैकेट के खुले भाग में होता है, दूसरा, HTTP - पैकेट के एन्क्रिप्टेड भाग को संदर्भित करता है। इसके अलावा, गंतव्य IP पते को निर्दिष्ट करने के लिए प्रत्येक हेडर का अपना क्षेत्र होता है। डोमेन फ्रन्टिंग का सार टीएलएस हेडर के "एसएनआई" फ़ील्ड और HTTP हेडर के "होस्ट" फ़ील्ड में विभिन्न डोमेन नामों का जानबूझकर उपयोग है। इस प्रकार, अनुमत गंतव्य पता "SNI" फ़ील्ड में इंगित किया गया है, और वितरण गंतव्य पता "होस्ट" फ़ील्ड में इंगित किया गया है। यदि दोनों पते एक ही सीडीएन के हैं, तो इस तरह के एक पैकेट के प्राप्त होने पर, रूटिंग नोड गंतव्य पते के अनुरोध को रिले कर सकता है।

इस तकनीक का एक और रूपांतर है जिसे डोमलेस फ्रोन्टिंग कहा जाता है। इस स्थिति में, "एसएनआई" फ़ील्ड (टीएलएस हेडर) जानबूझकर खाली छोड़ दिया जाता है, जो पैकेट को अपने लक्ष्य को प्राप्त करने की अनुमति देता है, भले ही सीडीएन "एसएनआई" और "एचओएसटी" फ़ील्ड के संयोग के लिए जाँच करता है (यदि खाली एसएनआई फ़ील्ड को अनदेखा किया गया है)।

सुरक्षा सिफारिशें: यदि HTTPS ट्रैफ़िक का निरीक्षण करना संभव है, तो डोमेन फ्रोन्टिंग के समान कनेक्शनों को कैप्चर और विश्लेषण किया जा सकता है। यदि एसएसएल निरीक्षण किया जाता है या ट्रैफ़िक को एन्क्रिप्ट नहीं किया जाता है, तो "एसएनआई" फ़ील्ड या सफेद या काली सूचियों में निर्दिष्ट पते की उपस्थिति के साथ संयोग के लिए "HOST" फ़ील्ड की जाँच की जा सकती है। डोमेन फ्रोन्टिंग को लागू करने के लिए, एक विरोधी को संभवतः एक समझौता प्रणाली में अतिरिक्त उपकरण तैनात करने की आवश्यकता होगी, जिसकी स्थापना को स्थानीय होस्ट सुरक्षा उपकरण स्थापित करके रोका जा सकता है।

फॉलबैक चैनल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: नियंत्रण चैनल की विश्वसनीयता सुनिश्चित करने के लिए और प्रेषित डेटा की सीमा मूल्यों से अधिक होने से बचने के लिए, हमलावर बैकअप या वैकल्पिक संचार चैनलों का उपयोग कर सकते हैं यदि मुख्य चैनल C2 समझौता या अनुपलब्ध है।

मल्टी-स्टेज चैनल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: हमलावर C2 मल्टी-स्टेज चैनल बना सकते हैं जो विभिन्न परिस्थितियों में या विशिष्ट कार्यों के लिए उपयोग किए जाते हैं। कई चरणों का उपयोग सी 2 चैनल को भ्रमित और बाधित कर सकता है, जिससे यह पता लगाना मुश्किल हो जाता है।

टारगेट होस्ट पर चलने वाली RATs पहले-स्तरीय सर्वर C2 के लिए एक कनेक्शन शुरू करती हैं। पहले चरण में होस्ट के बारे में बुनियादी जानकारी एकत्र करने, अपडेट टूल चलाने और अतिरिक्त फ़ाइलों को डाउनलोड करने की स्वचालित क्षमता हो सकती है। अगला, दूसरे RAT टूल को दूसरे-स्तरीय सर्वर C2 में होस्ट को पुनर्निर्देशित करने के लिए लॉन्च किया जा सकता है। सी 2 का दूसरा चरण, सबसे अधिक संभावना है, पूरी तरह कार्यात्मक होगा और दुश्मन को रिवर्स शेल और अतिरिक्त आरएटी कार्यों के माध्यम से लक्ष्य प्रणाली के साथ बातचीत करने की अनुमति देगा।

सी 2, सबसे अधिक संभावना है, उनके बुनियादी ढांचे को पार किए बिना एक दूसरे से अलग रखा जाएगा। मूल प्रथम-चरण चैनल का पता लगाने और अवरुद्ध होने की स्थिति में बूटलोडर के पास पहले चरण का फीडबैक या अतिरिक्त चैनल हो सकता है।

सुरक्षा सिफारिशें: बहु-मंच चैनलों को व्यवस्थित करने के लिए उपयोग किए जाने वाले सी 2 बुनियादी ढांचे को अवरुद्ध किया जा सकता है अगर यह पहले से ज्ञात हो। यदि C2 ट्रैफ़िक में अनन्य हस्ताक्षर मौजूद हैं, तो उनका उपयोग चैनल को पहचानने और ब्लॉक करने के लिए किया जा सकता है।

एकाधिक प्रॉक्सी (बहु-हॉप प्रॉक्सी)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: दुर्भावनापूर्ण यातायात के स्रोत को छिपाने के लिए, एक विरोधी कई प्रॉक्सी सर्वरों की एक श्रृंखला का उपयोग कर सकता है। आमतौर पर, डिफेंडर केवल अंतिम प्रॉक्सी निर्धारित करने में सक्षम होगा। मल्टीप्रोक्सिंग का उपयोग दुर्भावनापूर्ण ट्रैफ़िक के स्रोत की पहचान को और अधिक कठिन बना देता है, जिससे अपने प्रॉक्सी सर्वर के माध्यम से दुर्भावनापूर्ण ट्रैफ़िक पर नज़र रखने के लिए बचाव पक्ष की आवश्यकता होती है।

संरक्षण की सिफारिशें: ज्ञात अनाम नेटवर्क (जैसे टॉर) और सी 2 इन्फ्रास्ट्रक्चर के लिए यातायात को काले और सफेद सूचियों को व्यवस्थित करके अवरुद्ध किया जा सकता है। हालाँकि, आपको ध्यान देना चाहिए कि डोमेन फ्रोन्टिंग के समान तकनीकों का उपयोग करके अवरुद्ध करने की इस पद्धति को दरकिनार किया जा सकता है।

मल्टीबैंड संचार

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: कुछ विरोधी अलग प्रोटोकॉल के बीच C2 डेटा चैनल को विभाजित कर सकते हैं। इनकमिंग कमांड को एक प्रोटोकॉल, और आउटगोइंग डेटा पर एक अलग तरीके से प्रेषित किया जा सकता है, जो आपको कुछ फ़ायरवॉल प्रतिबंधों को बायपास करने की अनुमति देता है। किसी एकल संदेश के लिए थ्रेशोल्ड मान से अधिक की चेतावनी से बचने के लिए अलगाव भी आकस्मिक हो सकता है।

सुरक्षा सिफारिशें: उन कनेक्शनों को खोजने के लिए पैकेट की सामग्री का विश्लेषण करें जो उपयोग किए गए पोर्ट के लिए अपेक्षित प्रोटोकॉल व्यवहार से मेल नहीं खाते हैं। कई संचार चैनलों के बीच मिलान अलर्ट C2 का पता लगाने में भी मदद कर सकता है।

बहुपरत एन्क्रिप्शन

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक प्रतिकूल सी 2 यातायात एन्क्रिप्शन के कई स्तरों को लागू कर सकता है। एक नियम के रूप में (लेकिन अन्य विकल्पों को बाहर नहीं किया जाता है), अपनी स्वयं की एन्क्रिप्शन योजना का उपयोग करके अतिरिक्त टनलिंग का उपयोग HTTPS या SMTPS एन्क्रिप्शन के हिस्से के रूप में किया जाता है।

सुरक्षा युक्तियाँ: एन्क्रिप्शन प्रोटोकॉल का उपयोग करके हस्ताक्षर आधारित यातायात विश्लेषण के आधार पर विशिष्ट C2 खोज को जटिल किया जा सकता है। यदि मैलवेयर एक मानक क्रिप्टोग्राफ़िक प्रोटोकॉल का उपयोग करता है, तो कुछ एन्क्रिप्ट किए गए चैनलों पर सी 2 ट्रैफ़िक का पता लगाने के लिए एसएसएल / टीएलएस निरीक्षण का उपयोग किया जा सकता है। एसएसएल / टीएलएस सत्यापन में कुछ जोखिम शामिल होते हैं जिन्हें संभावित सुरक्षा समस्याओं से बचने के लिए लागू करने से पहले विचार करना चाहिए, जैसे कि अधूरा प्रमाणपत्र सत्यापन । एसएसएल / टीएलएस सत्यापन के बाद, दूसरे स्तर के एन्क्रिप्शन के लिए अतिरिक्त क्रिप्टोग्राफिक विश्लेषण की आवश्यकता हो सकती है।

बंदरगाह की दस्तक

सिस्टम: लिनक्स, macOS
अधिकार: उपयोगकर्ता
वर्णन: हमलावर पोर्ट नॉकिंग विधियों का उपयोग खुले बंदरगाहों को छिपाने के लिए कर सकते हैं जो वे सिस्टम से कनेक्ट करने के लिए उपयोग करते हैं।

सिक्योरिटी टिप्स : स्टेटफुल फायरवॉल का इस्तेमाल करके कुछ पोर्ट नॉकिंग विकल्पों को लागू होने से रोका जा सकता है।

रिमोट एक्सेस टूल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक इंटरैक्टिव कमांड और कंट्रोल मोड स्थापित करने के लिए, एक हमलावर उन लोगों के लिए डिज़ाइन किए गए वैध सॉफ़्टवेयर का उपयोग कर सकता है। वर्कस्टेशन समर्थन और रिमोट एक्सेस के लिए सॉफ्टवेयर, उदाहरण के लिए, TeamViewer, Go2Assist, LogMain, AmmyAdmin, आदि, जो आमतौर पर तकनीकी सहायता सेवाओं द्वारा उपयोग किए जाते हैं और इन्हें श्वेत किया जा सकता है। रिमोट एक्सेस टूल, जैसे वीएनसी, एमी, और टीमव्यू, का उपयोग आमतौर पर तकनीकी सहायता इंजीनियरों द्वारा किया जाता है और आमतौर पर साइबर अपराधियों द्वारा उपयोग किया जाता है।

वैकल्पिक C2 चैनल के रूप में उपयोग के लिए सिस्टम से समझौता किए जाने के बाद रिमोट एक्सेस टूल स्थापित किए जा सकते हैं। उन्हें मैलवेयर के एक घटक के रूप में भी इस्तेमाल किया जा सकता है जो एक सर्वर या सिस्टम द्वारा एक रिवर्स कनेक्शन को नियंत्रित करता है।

प्रशासन के उपकरण, जैसे कि टीमव्यूअर, का उपयोग रूसी राज्य और आपराधिक कंपनियों के हित में सरकारी एजेंसियों पर केंद्रित कई समूहों द्वारा किया गया था।

सुरक्षा सिफारिशें: रिमोट एक्सेस टूल का उपयोग डोमेन फ्रोन्टिंग तकनीकों के साथ संयोजन में किया जा सकता है, इसलिए मेजबान सुरक्षा उपकरणों का उपयोग करके आरएटी टूल्स को स्थापित करने से प्रतिकूल को रोकना उचित है।

रिमोट फाइल कॉपी

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: फ़ाइलें दुश्मन सिस्टम या अन्य फ़ाइलों को लागू करने के लिए एक सिस्टम से दूसरे में कॉपी की जा सकती हैं। फ़ाइलों को एक हमलावर द्वारा नियंत्रित बाहरी सिस्टम से कॉपी किया जा सकता है, सी एंड सी चैनल के माध्यम से या वैकल्पिक प्रोटोकॉल का उपयोग करके अन्य उपकरण, जैसे कि एफ़टीपी। अंतर्निहित उपकरण जैसे scp, rsync, sftp का उपयोग करके फ़ाइलों को Mac और Linux में भी कॉपी किया जा सकता है।

शत्रु नेटवर्क आंदोलन और दूरस्थ कमांड निष्पादन का समर्थन करने के लिए आंतरिक पीड़ित प्रणालियों के बीच बाद में फ़ाइलों की प्रतिलिपि भी बना सकते हैं। यह SMB के माध्यम से नेटवर्क संसाधनों को जोड़ने या Windows व्यवस्थापक शेयरों या RDP के लिए प्रमाणित कनेक्शन का उपयोग करके फ़ाइल साझाकरण प्रोटोकॉल का उपयोग करके किया जा सकता है।

सुरक्षा सिफारिशें: एसएमबी प्रोटोकॉल के माध्यम से नेटवर्क पर फ़ाइलों के निर्माण और हस्तांतरण की पहचान करने, निगरानी करने के साधन के रूप में सिफारिश की जाती है। बाहरी नेटवर्क कनेक्शन के साथ असामान्य प्रक्रियाएं जो सिस्टम के भीतर फाइलें बनाती हैं, उन्हें भी संदिग्ध होना चाहिए। एफ़टीपी जैसी उपयोगिताओं का एटिपिकल उपयोग भी संदिग्ध हो सकता है।

मानक अनुप्रयोग परत प्रोटोकॉल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: मौजूदा नेटवर्क ट्रैफ़िक के साथ C2 ट्रैफ़िक का पता लगाने और मिश्रण करने से बचने के लिए, हमलावर मानक एप्लिकेशन-स्तर प्रोटोकॉल जैसे HTTP, HTTPS, SMTP या DNS का उपयोग कर सकते हैं। सी 2 चैनल (एन्क्लेव) के भीतर कनेक्शन के लिए, उदाहरण के लिए, प्रॉक्सी सर्वर और मास्टर नोड और अन्य नोड्स के बीच, आरपीसी, एसएसएच, या आरडीपी प्रोटोकॉल आमतौर पर उपयोग किए जाते हैं।

मानक क्रिप्टोग्राफिक प्रोटोकॉल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: विरोधियों C2 यातायात को छिपाने के लिए प्रसिद्ध एन्क्रिप्शन एल्गोरिदम का उपयोग कर सकते हैं। एक मजबूत एल्गोरिथ्म के उपयोग के बावजूद, यदि गुप्त कुंजियों को मैलवेयर द्वारा और एन्क्रिप्ट किया जाता है और / या कॉन्फ़िगरेशन फ़ाइलों में संग्रहीत किया जाता है, तो रिवर्स इंजीनियरिंग का उपयोग करके सी 2 ट्रैफ़िक का खुलासा किया जा सकता है।

मानक गैर-अनुप्रयोग परत प्रोटोकॉल

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: ओएसआई मॉडल के गैर-अनुप्रयोग परत प्रोटोकॉल का उपयोग संक्रमित होस्ट और सर्वर के बीच संचार के लिए या नेटवर्क पर संक्रमित मेजबानों की बातचीत के लिए किया जा सकता है। प्रसिद्ध कार्यान्वयन में, नेटवर्क लेयर प्रोटोकॉल - ICMP, ट्रांसपोर्ट लेयर - UDP, सेशन लेयर - SOCKS, और प्रोटोकॉल जैसे रीडायरेक्ट / टनल, जैसे Serial over LAN (SOL) का उपयोग किया जाता था।

ICMP का उपयोग अक्सर साइबर क्रिमिनल्स द्वारा मेजबानों के बीच संचार छिपाने के लिए किया जाता है। चूँकि ICMP इंटरनेट प्रोटोकॉल सूट का हिस्सा है और इसे सभी IP- संगत डिवाइसेस द्वारा लागू किया जाना चाहिए, इसलिए इसे अन्य प्रोटोकॉल जैसे कि TCP या UDP के रूप में अक्सर मॉनिटर नहीं किया जाता है।

फैंसी पोर्ट (असामान्य रूप से प्रयुक्त पोर्ट)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: प्रॉक्सी सर्वर और फ़ायरवॉल को बायपास करने के लिए गैर-मानक पोर्ट के माध्यम से सी 2 के माध्यम से संचार कर सकते हैं जो सही तरीके से कॉन्फ़िगर नहीं किए गए थे।

वेब सेवा

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: हमलावर एक संक्रमित प्रणाली को नियंत्रित करने के लिए कमांड भेजने के साधन के रूप में एक चल, वैध बाहरी वेब सेवा का उपयोग कर सकते हैं। प्रबंधन सर्वर को कमांड और कंट्रोल (C & C या C2) कहा जाता है। लोकप्रिय वेबसाइट और सामाजिक नेटवर्क C2 के लिए एक तंत्र के रूप में कार्य कर सकते हैं, और विभिन्न सार्वजनिक सेवाओं जैसे कि Google या ट्विटर का भी उपयोग किया जा सकता है। यह सब समग्र यातायात प्रवाह में दुर्भावनापूर्ण गतिविधि को छिपाने में मदद करता है। वेब सेवाएं आमतौर पर एसएसएल / टीएलएस का उपयोग करती हैं, इसलिए विरोधियों को सुरक्षा की एक अतिरिक्त परत मिलती है।

सुरक्षा सिफारिशें: फायरवॉल और वेब प्रॉक्सी का उपयोग बाहरी नेटवर्क संचार को प्रतिबंधित करने के लिए नीतियों को लागू करने के लिए किया जा सकता है।

C2 की रोकथाम और पता लगाने के लिए उपायों के संगठन पर सामान्य सिफारिशें

• आईडीएस / डीएलपी सिस्टम जो हस्ताक्षर-आधारित ट्रैफ़िक विश्लेषण का उपयोग करते हैं, ज्ञात सी 2 टूल और दुर्भावनापूर्ण कार्यक्रमों का पता लगाने और उन्हें अवरुद्ध करने के लिए उपयोग किया जा सकता है, इसलिए प्रतिकूल समय के साथ उपयोग किए जाने वाले उपकरणों को बदलने या डेटा ट्रांसफर प्रोटोकॉल को कॉन्फ़िगर करने की सबसे अधिक संभावना होगी ताकि उसके बारे में पता लगाने से बचें। संरक्षण;

• ज्ञात विशिष्ट C2 टूल और मैलवेयर को ब्लॉक करने के लिए एंटी-वायरस एंडपॉइंट सुरक्षा उपकरणों का उपयोग करें;

• सुनिश्चित करें कि आंतरिक नेटवर्क पर होस्ट केवल अधिकृत इंटरफेस के माध्यम से सुलभ हैं;

• उचित नेटवर्क गेटवे के माध्यम से फायरवॉल और समीप पर केवल आवश्यक बंदरगाहों की अनुमति देकर आउटगोइंग ट्रैफिक को सीमित करें;

ब्लॉक डोमेन और ज्ञात C2 इन्फ्रास्ट्रक्चर के आईपी पते। हालांकि, यह ध्यान दिया जाना चाहिए कि यह एक प्रभावी और दीर्घकालिक समाधान नहीं है, जैसा कि C2;

• , ;

• , - , (TeamViewer, Go2Assist, LogMain, AmmyAdmin ..);

• , - ;

• API-, ;

• ICMP , ;

• , , , , , ;

• , .