Sliver C2

Définition

Sliver est un framework de Command and Control (C2) open source développé par BishopFox, conçu comme une alternative open source à Cobalt Strike. Écrit en Go, il génère des implants (agents) qui s'exécutent sur les systèmes compromis et communiquent avec le serveur C2 de l'attaquant via plusieurs protocoles. Sliver supporte plusieurs modes de communication : mTLS (mutual TLS), HTTP/HTTPS, DNS, et WireGuard. La diversité des protocoles permet d'adapter le canal de communication aux contraintes de filtrage réseau de l'environnement cible. Les implants peuvent être configurés en mode 'beacon' (communication périodique, similaire au Beacon Cobalt Strike) ou en mode 'session' (connexion interactive continue). Les fonctionnalités de Sliver couvrent les besoins standards de post-exploitation : exécution de commandes, upload/download de fichiers, pivoting réseau (SOCKS5 proxy), port forwarding, process injection (shinject, execute-assembly), credential access (dump de LSASS, SAM, cookies de navigateurs), mouvement latéral (PsExec, WMI, SMB), et exécution de BOF (Beacon Object Files compatibles). Parmi les caractéristiques distinctives : les implants sont compilés dynamiquement avec des configurations de communication intégrées et des clés de chiffrement uniques par implant, les communications sont authentifiées et chiffrées, le serveur peut gérer simultanément de nombreux implants, et une interface collaborative permet à plusieurs opérateurs de partager un serveur Sliver. La compilation Go produit des binaires statiques autonomes pour Windows, Linux et macOS. Sliver est de plus en plus utilisé par des acteurs malveillants réels (pas seulement des red teams légitimes) depuis 2022, attestant de sa maturité comme framework C2. Microsoft a documenté des campagnes APT utilisant Sliver comme alternative moins détectée à Cobalt Strike.