Rétro-Ingénierie de C2 : Cobalt Strike et Brute Ratel

Les frameworks C2 sont l'épine dorsale des opérations offensives modernes : ils fournissent un canal de communication chiffré entre l'attaquant et les systèmes compromis, permettant l'exécution de commandes, l'exfiltration de données, le déploiement de payloads secondaires et le mouvement latéral dans le réseau. La rétro-ingénierie de ces frameworks est une compétence clé pour les équipes de réponse à incident et de threat intelligence car elle permet d'extraire les indicateurs d'attribution (watermarks Cobalt Strike), de cartographier l'infrastructure de l'attaquant et de développer des contre-mesures spécifiques. L'analyse dynamique en sandbox est la première étape pour observer le comportement réseau du beacon. La rétro-ingénierie de ransomware utilise les mêmes techniques pour analyser les composants C2 intégrés aux ransomwares. Les techniques d'anti-rétro-ingénierie des APT sont implémentées dans les beacons pour résister à l'analyse. L'unpacking avancé est souvent nécessaire car les beacons sont protégés par des loaders obfusqués. Les recherches de Elastic Security Labs sur la détection C2 et les outils de Didier Stevens pour l'analyse Cobalt Strike sont des ressources essentielles.

Architecture et analyse des beacons Cobalt Strike

Le beacon Cobalt Strike est un implant modulaire qui communique avec le Team Server via HTTP, HTTPS ou DNS avec un profil malleable qui personnalise le format des requêtes et réponses pour se fondre dans le trafic légitime. La configuration du beacon est embarquée dans le binaire sous forme d'un blob de 4096 octets chiffré par XOR avec une clé de 16 octets dont le premier octet est 0x69 (version 4.x). La configuration beacon contient plus de 50 paramètres : le watermark (identifiant de licence lié à l'acheteur), les URLs de C2 (primaire et fallback), le profil malleable (headers HTTP, User-Agent, URI patterns), le sleep time et jitter, les méthodes d'injection de processus (spawn and inject, inline execute), et les clés de chiffrement de la communication.

L'extraction de configuration utilise CobaltStrikeParser (SentinelOne) ou le script 1768.py de Didier Stevens qui déchiffrent automatiquement le blob de configuration et extraient les paramètres en clair. L'extraction fonctionne depuis le binaire beacon sur disque, un dump mémoire de processus, ou une capture PCAP contenant le stager initial. Le watermark est l'indicateur d'attribution le plus précieux car il identifie la licence Cobalt Strike utilisée (légitime ou crackée) et permet la corrélation entre différents incidents utilisant la même licence. Les C2 URLs et les profils malleable alimentent les règles de détection réseau déployées dans les IDS/IPS et les SIEM.

Profils malleable C2 et signatures réseau

Les profils malleable C2 sont des fichiers de configuration qui personnalisent le format du trafic réseau du beacon pour le faire ressembler à du trafic légitime (requêtes d'API Amazon, trafic CDN Cloudflare, mises à jour Windows). L'analyse du profil extrait de la configuration beacon identifie les URI patterns utilisés pour les check-ins (GET) et les réponses du serveur (POST), les headers HTTP ajoutés (Host, Cookie, Referer), le User-Agent personnalisé, et le format d'encodage des données (Base64, masqué dans un cookie, dans le corps HTTP ou dans les paramètres URL). Ces patterns, même personnalisés, présentent des anomalies détectables.

Le développement de signatures réseau exploite les invariants du protocole beacon qui ne sont pas modifiables par le profil malleable : la structure de la métadonnée initiale chiffrée RSA envoyée au premier check-in, les intervalles réguliers des check-ins (sleep time ± jitter), et les caractéristiques du handshake TLS lorsque le beacon utilise HTTPS avec un certificat auto-signé ou un certificat Let's Encrypt récent. Les signatures JA3/JA3S basées sur les paramètres TLS du beacon sont particulièrement efficaces car elles ne dépendent pas du contenu HTTP personnalisable par le profil malleable.

Brute Ratel C4 et techniques d'évasion avancées

Brute Ratel C4 (BRc4) se différencie de Cobalt Strike par ses techniques d'évasion EDR natives : les direct syscalls contournent les hooks ntdll.dll placés par les EDR en invoquant directement les syscalls du noyau Windows sans passer par les fonctions d'API hookées, rendant invisible l'activité du badger (l'équivalent du beacon dans la terminologie Brute Ratel) pour les solutions de sécurité endpoint. Le contournement d'ETW (Event Tracing for Windows) désactive la télémétrie Windows qui alimente les détections comportementales des EDR, et le bypass d'AMSI empêche la détection des commandes PowerShell exécutées via le badger.

Analyse statique et dynamique de Brute Ratel

L'analyse de Brute Ratel nécessite des techniques spécifiques car les protections anti-analyse empêchent le debugging standard. L'exécution en sandbox avec CAPE identifie les communications réseau mais échoue à extraire la configuration automatiquement. L'analyse manuelle utilise des breakpoints matériels (hardware breakpoints) sur les fonctions de chiffrement identifiées par analyse statique dans Ghidra, le monitoring des registres CPU au moment des syscalls pour capturer les paramètres système, et l'analyse des patterns mémoire pour localiser la configuration déchiffrée. La configuration BRc4 extraite contient les C2 URLs, le protocole de communication (HTTP, HTTPS, DNS, SMB named pipes) et les paramètres d'exécution.

Conclusion

La rétro-ingénierie des frameworks C2 transforme les implants détectés en intelligence actionnable pour la défense. L'extraction de configuration Cobalt Strike et l'analyse Brute Ratel révèlent l'infrastructure de l'attaquant, permettent la corrélation entre incidents et alimentent les signatures de détection réseau et endpoint pour protéger proactivement le réseau.