Malleable C2 Profile

Définition

Un Malleable C2 Profile est un fichier de configuration pour Cobalt Strike qui permet aux opérateurs de personnaliser en détail le comportement réseau du Beacon, depuis la structure des requêtes HTTP jusqu'aux métadonnées TLS, en passant par les délais de callback et le comportement en mémoire. Ces profils permettent d'imiter le trafic d'applications légitimes connues pour éviter la détection réseau. La syntaxe des Malleable C2 Profiles permet de définir : les URIs utilisés par le Beacon pour ses check-ins (ex: /jquery-3.3.1.min.js, /pixel.gif), les en-têtes HTTP avec des valeurs réalistes (User-Agent, Referer, Accept-Language), les cookies et leurs formats, le schéma de staging (comment le Beacon initial télécharge le Beacon complet), le comportement en mémoire (injection dans quel processus, nettoyage des en-têtes PE, masquage de la mémoire), et les paramètres de communication (jitter, sleep time, max-size). Des profils publics imitent des applications connues : jQuery updates (trafic similaire aux mises à jour jQuery), Amazon AWS (trafic similaire aux SDK AWS), Google Analytics (trafic similaire aux balises GA), et des navigateurs spécifiques. Des dépôts comme malleable-c2-profiles de rasta-mouse sur GitHub proposent des profils prêts à l'emploi. Le comportement en mémoire est particulièrement important : les options headersRemove_headers (supprimer les en-têtes PE après chargement), obfuscate (chiffrer le Beacon en mémoire pendant le sommeil), userwx false (utiliser des permissions RW plutôt que RWX, moins surveillées), et pe_header_optional_header_size permettent de réduire les artefacts mémoire détectables par les EDR. SleepMask est une extension du comportement mémoire qui chiffre le heap et le code du Beacon pendant les périodes de sommeil, rendant les scanners de mémoire EDR inefficaces lors de leurs analyses périodiques.