Schutz von Twitter-basierten Botnet-Command- und -Control-Servern mit Neural Networks

Forscher aus China haben die “Black-Box”-Eigenschaft von Neural Networks genutzt, um eine neue Methode zu entwickeln, mit der bösartige Botnets über Twitter mit ihren Command- und Control- (C&C-) Servern kommunizieren können, ohne dass Sicherheitsforscher dies entdecken können, und es schwierig machen, ihre Operationen zu stoppen.

Das aktualisierte Papier, das am 2. August veröffentlicht wurde, trägt den Titel DeepC2: AI-gesteuerte verdeckte Botnet-Command- und -Control auf OSNs.

Die vorgeschlagene Methode, die erfolgreich in einem Test über Twitter getestet wurde, trainiert ein neuronales Netzwerk, um das Twitter-Konto zu identifizieren, das von einer C&C-Entität kontrolliert wird, basierend auf seinem Twitter-Benutzer-Icon. Sobald das kommandierende Konto vom neuronalen Netzwerk “authentifiziert” wurde, können die versteckten Befehle in seinen scheinbar harmlosen Tweets von der Armee der Computer ausgeführt werden, die mit dem Botnet infiziert sind.

Quelle: https://arxiv.org/abs/2009.07707

Ein Botnet ist eine Gruppe von Computern, die so kompromittiert wurden, dass sie von zentralen Akteuren gesteuert werden können, um verschiedene Arten von Crowd-sourced Cyber-Angriffen durchzuführen, einschließlich DDoS-Attacken, Kryptowährungs-Mining und Spam-Kampagnen.

Der Kampf um C&C-Anonymität

Jeder kompromittierte Computer im Botnet benötigt eine zentrale Steuerung durch die Urheber der Malware und muss daher auf irgendeine Weise mit einem C&C-Server kommunizieren. Dies hat traditionell jedoch bedeutet, dass Sicherheitsforscher die individuelle Botnet-Infektion rückwärts analysieren und die URL/s des C&C-Servers entdecken konnten, die normalerweise in die Infektion hartcodiert waren.

Sobald die bösartige C&C-Domain bekannt war, war es möglich, sie auf Netzwerkebene zu blockieren und ihre Herkunft zu untersuchen, um rechtliche Schritte einzuleiten.

In den letzten Jahren hat sich die Tendenz für C&C-Server von dedizierten http-Domain-Adressen weg zu der Nutzung von beliebten Webdiensten wie Gmail, Twitter, Online-Clipboard-Diensten und verschiedenen Online-Sozialnetzwerken (OSNs) entwickelt.

2015 wurde bekannt, dass die Malware-Backdoor Hammertoss Twitter, GitHub und Cloud-Speicher-Dienste für diese Zwecke nutzte; 2018, dass das Remote-Administration-Tool (RAT) HeroRat die Telegram-Messaging-Protokoll für dieselben Zwecke nutzte; und dass 2020 die Turla-Gruppe ihre ComRAT-Malware auf die Nutzung von Gmail als Kommunikationsframework umgestellt hatte.

Jedoch erfordern diese Ansätze immer noch, dass einige identifizierende Informationen in die infizierende Software hartcodiert werden, was sie für Sicherheitsinitiativen entdeckbar macht, wenn auch oft mit einiger Mühe. In solchen Fällen kann die erkennbare Natur der bösartigen Befehle und die Identifizierung von Benutzer-IDs es ermöglichen, diese Kanäle zu schließen, was normalerweise das abhängige Botnet außer Betrieb setzt.

Geheime Identifikatoren

Die DeepC2-Methode, die von den chinesischen Forschern vorgeschlagen wird, macht es praktisch unmöglich, die C&C-Identifikationsinformationen rückwärts zu analysieren, da das Code nur ein undurchsichtiges neuronales Netzwerk-Algorithmus preisgibt, der nicht leicht in seiner hoch optimierten (d. h. effektiv “kompilierten”) Form umgesetzt werden kann.

Unter DeepC2 sucht der Bot nach einem bestimmten Benutzer-Avatar (in Trendthemen, damit der Bot nicht alle Twitter-Konten durchsuchen muss), dessen hochrangige Merkmale in seinem neuronalen Netzwerk codiert sind. Die Autoren der Malware wählen geeignete Icon-Bilder im Voraus aus und trainieren das neuronale Netzwerk auf diese. Die abgeleiteten Merkmalsvektoren und das neuronale Netzwerk selbst werden als Teil der bösartigen Payload verteilt.

Wenn der C&C-Server einen neuen Befehl veröffentlicht, wählt die lenkende Hand hinter ihm einige Trendthemen auf Twitter (oder welches Sozialnetzwerk auch immer ausgenutzt wird) und generiert scheinbar normale soziale Medien-Beiträge, die eingebettete Befehle enthalten. Die Aktualität des Trends bringt die Beiträge in eine entdeckbare Prominenz, so dass die Bots leicht auf neue Befehle zugreifen können, indem sie das Sozialnetzwerk durchsuchen.

Workflow von DeepC2.

Um die Entdeckung zu verhindern, wird jedes Twitter-Icon und das zugehörige Konto nur einmal als C&C-Mechanismus unter DeepC2 verwendet, und das System wechselt nach diesem Ereignis zu einem frischen, vorher ausgerollten C&C-OSN-Handle. Zusätzlich löschen die Bots die verwendeten Vektor-Informationen, die ihnen halfen, C&C-Avatars zu identifizieren, nach einem Einsatz (einem gesendeten Befehl), um eine Wiedergabe durch forensische Sicherheitsmethoden weiter zu behindern.

Verbergen von C&C-Befehlen

Als weitere Hilfe zur Verbergen von Befehlen enthält DeepC2 eine Methode, um die Entdeckung von expliziten Befehlen in Twitter-Nachrichten zu verhindern, indem sie Hash-Kollisionen und erweiterte Daten-Augmentation (EDA) verwendet, die auf Arbeit aus dem Protago Labs Research im Jahr 2019 basiert, in Zusammenarbeit mit dem Dartmouth College und der Georgetown University.

Eine Hash-Kollision tritt auf, wenn zwei verschiedene Datenstücke denselben Prüfsummenwert haben, d. h. wenn jedes unterschiedliche Datenstück mathematisch äquivalent in seinem Profil ist – ein seltenes Szenario, das in diesem Fall ausgenutzt werden kann, um Befehls-Signifikate aus scheinbar harmlosen Textinhalten zu erstellen.

Die Bots suchen nach diesen vorher programmierten Hashes in den sozialen Medien-Ausgaben von Konten, die sie als C&C-Server identifiziert haben, basierend auf den erkannten Avatar-Icons. Da die von dem C&C-Befehlshaber generierten Tweets einige kontextuelle Relevanz für den Ziel-Themenstrom haben, sind sie schwer als Anomalien zu identifizieren und verbergen die Absicht der Beiträge.

Obwohl die augmentierten Textdaten möglicherweise nicht grammatikalisch korrekt sind, verbergen die grammatischen Inkonsistenzen der Beiträge auf Twitter (und anderen sozialen Medien) diese ‘Fehler’ in der Verständlichkeit.

IP-Adressen werden vom Botmaster an die Bots übermittelt, indem die URL in zwei separate Hashes mit Hash-Kollision aufgeteilt wird, die von den Remote-Bots identifiziert und zu einer verständlichen IP-Adresse zusammengefügt werden.

Die Forscher verwendeten sieben virtuelle private Server, um geo-diverse Standorte zu simulieren. Ziel-Avatars wurden aus 40 Fotos abgeleitet, die mit Mobiltelefonen aufgenommen wurden und dann während des Trainings in Vektoren umgewandelt wurden. Die Bots wurden anschließend mit dem trainierten Modell und den Vektordaten positioniert.

Alle Befehle im Experiment wurden erfolgreich von den virtualisierten Bot-Netzwerken empfangen und analysiert, wenn auch mit einiger Redundanz bei der Nachrichtenverbreitung, da das System nicht vollständig sicherstellen kann, dass jede Instanz einer Nachricht von einem bestimmten Tweet empfangen wird.

Im Hinblick auf Gegenmaßnahmen weisen die Forscher darauf hin, dass die automatisierte Häufigkeit, mit der “Sklaven”-Bots Twitter nach C&C-Nachrichten durchsuchen, und die Art und Weise, wie der C&C-Server durch eine Reihe von Beiträgen iteriert, möglicherweise ein identifizierbares Muster darstellen, das durch neue Arten von Schutzframeworks angegangen werden könnte.

Darüber hinaus könnten OSNs möglicherweise die sehr spezifischen visuellen Unterschiede berechnen, die in einem Array von C&C-Avatar-Icons eingebettet sind, und Methoden entwickeln, um basierend auf diesen Kriterien Warnungen auszulösen.