Beskyttelse af Twitter-baserede botnet-kommandocentrale-servere med neurale netværk

Forskere fra Kina har udnyttet den “sorte kasse”-egenskab af neurale netværk til at udvikle en ny metode til ondsindede botnets til at kommunikere med deres kommando- og kontrolservere (C&C) over Twitter på en måde, der ikke kan afsløres af sikkerhedsforskere, og som kan gøre det svært at lukke deres operationer ned.

Den opdaterede rapport, der blev offentliggjort den 2. august, hedder DeepC2: AI-drevet hemmelig botnet-kommando og kontrol på OSN’er.

Den foreslåede metode, der blev testet i en prøve over Twitter, træner et neuralt netværk til at identificere den Twitter-konto, der kontrolleres af en C&C-enhed, baseret på dens Twitter-brugernavn. Når den kommanderende konto er blevet “autentificeret” af det neurale netværk, kan de skjulte kommandoer i dens åbenlyst uskyldige tweets udføres af den hær af computere, der er inficeret med botnettet.

Kilde: https://arxiv.org/abs/2009.07707

Et botnet er en gruppe af computere, der er blevet kompromitteret, så de kan styres af centrale skurke til at udføre forskellige former for crowdsourced cyberangreb, herunder DDoS-angreb, kryptovaluta-udvinding og spam-kampagner.

Kampen for C&C-anonymitet

Hver kompromitteret computer i botnettet “orkester” kræver central styring fra malwarens oprindelse, og derfor må kommunikere på en eller anden måde med en C&C-server. Det har dog traditionelt betydet, at sikkerhedsforskere har kunnet omvendt ingeniør den enkelte botnet-infektion og afsløre URL’erne til C&C-serverne, der normalt er hardkodet i infektionen.

Når den ondsindede C&C-domæne var kendt, var det derefter muligt at blokere den på netniveau og at undersøge dens oprindelse i forbindelse med retslige skridt.

I de senere år er trenden for C&C-servere drejet væk fra dedikerede http-domæneadresser mod brugen af populære webtjenester som Gmail, Twitter, online-klipbrættjenester og en række online sociale netværk (OSN’er).

I 2015 blev det afsløret, at malware-backdøren Hammertoss brugte Twitter, GitHub og cloud-lagringstjenester til disse formål; i 2018, at fjernstyringsværktøjet HeroRat brugte Telegram-meddelelsesprotokollen til samme formål; og at i 2020 havde Turla-gruppens ComRAT-malware migreret til at bruge Gmail som kommunikationsramme.

Men disse tilgange kræver stadig en form for identificerende information, der skal være hardkodet i infektionssoftwaren, hvilket gør det opdageligt, omend ofte med nogen sværhed, for sikkerhedsinitiativer. I sådanne tilfælde kan den forklarbare natur af de ondsindede kommandoer og identifikationen af bruger-ID’er tillade, at disse kanaler lukkes ned, hvilket normalt inaktiverer det afhængige botnet.

Hemmelige identifikatorer

DeepC2-metoden, der er foreslået af de kinesiske forskere, gør omvendt ingeniørarbejde af C&C-identificeringsinformationen praktisk taget umuligt, da alt, hvad koden vil afsløre, er en uigennemsigtig neuralt netværksalgoritme, der ikke let kan genskabes i sin højttilegnede (dvs. effektivt “kompileret”) form.

Under DeepC2 lokaliserer botnen “botmasteren” ved at søge efter en bestemt brugeravatar (i trending-emner, så botnen ikke behøver at gennemsøge hele Twitter), hvis højt niveau-egenskaber er blevet kodet ind i dens neurale netværk. Malwarens forfattere vælger passende ikonbilleder i forvejen til kampagnens udrulning og træner det neurale netværk på disse. De afledte egenskabsvektorer og det neurale netværk selv distribueres som en del af den skadelige payload.

Når C&C-serveren offentliggør en ny kommando, vælger den styrende hånd bag den nogle trending-emner på Twitter (eller hvilket som helst andet sociale netværk, der udnyttes) og genererer åbenlyst almindelige sociale medie-indlæg, der indeholder indlejrede kommandoer. Emnets aktualitet får indlæggene til at blive opdagelige, så botnene let kan få adgang til nye kommandoer ved at crawle det sociale netværk.

Workflow for DeepC2.

For at forhindre opdagelse bruges hver Twitter-ikon og tilhørende konto kun én gang som C&C-mekanisme under DeepC2, og systemet går videre til en frisk forhåndsrullet C&C-OSN-håndtag efter denne begivenhed. Derudover sletter botnene den brugte vektorinformation, der hjalp dem med at identificere C&C-avatare, efter én brug (én kommando sendt), for yderligere at hindre genspil af retsmedicinske sikkerhedsmetoder.

At kamuflere C&C-kommandoer

Som en yderligere hjælp til kamuflering indeholder DeepC2 en metode til at forhindre opdagelsen af eksplisitte kommandoer i Twitter-beskedninger ved at bruge hash-kollision og forbedret dataforstærkning (EDA), sidstnævnte baseret på arbejde fra Protago Labs Research i 2019 i samarbejde med Dartmouth College og Georgetown University.

En hash-kollision opstår, når to forskellige datastykker har samme checksum, dvs. når hvert enkelt datastykke er matematisk ligeværdigt i profil – en sjælden situation, der kan udnyttes til at skabe kommandosignifikatorer fra åbenlyst uskyldigt tekstindhold.

Botnene søger efter disse forhåndskodede hashes i de sociale medie-udgivelser fra konti, som de har kunnet identificere som C&C-servere baseret på de genkendte avatar-ikoner. Da tweets, der er genereret af C&C-kommandøren, har en vis kontekstuel relevans for målemæssigt strøm, er de svære at identificere som anomalier og skjuler intentionen bag indlæggene.

Selv om den forstærkede tekstdata ikke er grammatisk korrekt, skjuler den grammatisk inkonsistens af indlæg på Twitter (og andre sociale medie-netværk) effektivt disse ‘fejl’ i forståelighed.

IP-adresser overføres af botmasteren til botnene ved at splitte URL’en i to separate hashes med hash-kollision, der identificeres og samles til en forståelig IP-adresse af de fjerne botnene.

Forskerne brugte syv virtuelle private servere til at simulere geografisk forskellige lokaliteter. Mål-avatare blev afledt fra 40 fotos taget med mobiltelefoner, der derefter blev konverteret til vektorer under træning. Botnene blev derefter sat i position med det trænede model og vektordata.

Alle kommandoer i eksperimentet blev modtaget og parseret af de virtualiserede botnetværk, omend med en vis redundans i meddelelsesformidling, da systemet ikke kan være helt sikker på, at hver enkelt meddelelse vil blive modtaget fra en bestemt tweet.

Med hensyn til modforholdsregler bemærker forskerne, at den automatiserede hyppighed, hvormed “slave”-botnene søger på Twitter efter C&C-meddelelser, og måden, hvorpå C&C-serveren itererer gennem en række indlæg, kunne potentielt repræsentere en identificerbar signatur, der kunne håndteres af nye former for beskyttelsesrammer.

Desuden kunne OSN’er potentielt beregne de meget specifikke visuelle forskelle, der er indlejret i en række C&C-avatare, og udvikle metoder til at udløse advarsler baseret på disse kriterier.