C2 Traffic Identification

Définition

L'identification du trafic C2 (Command and Control) est une discipline forensique réseau visant à détecter les communications entre des systèmes compromis et l'infrastructure de contrôle des attaquants. C'est l'une des phases les plus critiques d'une investigation DFIR car localiser le C2 permet de comprendre l'étendue de la compromission et de couper les communications malveillantes. Les malwares modernes utilisent des techniques sophistiquées pour masquer leurs communications C2. Le HTTP/HTTPS over port 80/443 est le vecteur le plus courant car il se fond dans le trafic légitime. Des frameworks comme Cobalt Strike utilisent des 'malleable C2 profiles' pour personnaliser l'apparence du trafic HTTP et imiter des sites légitimes (Amazon CloudFront, Google Analytics). Le DNS over HTTPS (DoH) permet d'encapsuler le C2 DNS dans du trafic HTTPS, contournant les filtres DNS. La détection du beaconing est la technique forensique principale pour identifier le C2. Le beaconing est le pattern de communication périodique d'un malware avec son C2 : toutes les X minutes/heures, le malware envoie une requête pour recevoir des instructions. Ce pattern périodique, même avec du jitter (variation aléatoire de l'intervalle), est détectable statistiquement dans les logs réseau ou PCAP. Des outils comme RITA (Real Intelligence Threat Analytics) analysent les logs Zeek/Bro pour détecter automatiquement les beacons. D'autres indicateurs de trafic C2 incluent : User-Agent strings inhabituelles ou faux (malwares se faisant passer pour des navigateurs, mais avec des strings incorrectes), connexions vers des domaines nouvellement enregistrés ou à forte entropie, trafic TLS vers des certificats auto-signés ou avec des informations de certificat génériques, taille des requêtes et réponses anormalement uniforme (padding du C2), et communications hors des heures de bureau vers des destinations géographiques suspectes. Le fingerprinting JA3/JA3S permet d'identifier les clients et serveurs TLS par leur négociation (handshake) caractéristique, indépendamment des certificats. Des bases de données de fingerprints JA3 connus pour Cobalt Strike, Metasploit, et d'autres outils permettent une identification rapide.