Twitter-pohjaisen botnetin komentosilta- ja valvontapalvelimien suojaus neuroverkkojen avulla

Kiinalaiset tutkijat ovat hyödyntäneet neuroverkkojen “mustan laatikon” luonteen kehittääkseen uuden menetelmän, jolla haitalliset botnetit voivat kommunikoida komentosilta- ja valvontapalvelimien kanssa Twitterin kautta tavalla, jota turvallisuustutkijat eivät voi paljastaa, ja joka voi tehdä heidän toimintansa lopettamisen vaikeaksi.

Päivitetty julkaisu, joka julkaistiin 2. elokuuta, on nimeltään DeepC2: AI-pohjainen salainen botnetin komentosilta ja valvonta sosiaalisissa verkostoissa.

Esitetty menetelmä, joka on testattu onnistuneesti Twitterissä, kouluttaa neuroverkon tunnistamaan Twitter-tilin, jota komentosilta- ja valvontayksikkö hallinnoi, tilin Twitter-käyttäjäikonin perusteella. Kun komentosilta- ja valvontayksikkö on “tunnistettu” neuroverkon avulla, piilotetut käskyt sen näennäisesti viattomissa twiiteissä voidaan suorittaa joukolla tietokoneita, jotka on tartuttu botnetillä.

Lähde: https://arxiv.org/abs/2009.07707

Botnet on ryhmä tietokoneita, jotka on komprometoidu, jotta ne voidaan ohjata keskitetysti sijaitsevien pahantahtoisten toimijoiden toimesta erilaisiin joukkoräjähyökkäyksiin, mukaan lukien DDoS-hyökkäykset, cryptocurrency-kaivostoiminta ja roskapostikampanjat.

Taistelu C&C-anonyymiuden puolesta

Jokainen komprometoidu tietokone botnetin “orkesterissa” tarvitsee keskitetyn ohjausta malwaren luojaorganisaatiolta, ja siten on kommunikoitava jollain tavoin komentosilta- ja valvontapalvelimen kanssa. Tämä on kuitenkin perinteisesti tarkoittanut, että turvallisuustutkijat ovat voineet kääntää yksittäisen botnetin tartunnan ja paljastaa komentosilta- ja valvontapalvelimen URL-osoitteen, joka on yleensä koodattu tartunnan sisään.

Kun pahantahtoinen komentosilta- ja valvontapalvelin on tunnistettu, on ollut mahdollista estää se verkkotasolla ja tutkia sen alkuperää oikeudellisen toimenpiteen vuoksi.

Vuosien varrella komentosilta- ja valvontapalvelujen trendi on muuttunut pois omista http-pohjaisista osoitteista kohti suosittujen verkkopalvelujen, kuten Gmailin, Twitterin, online-leikepalvelujen ja erilaisten sosiaalisten verkostojen (OSN) käyttöä.

Vuonna 2015 paljastettiin, että Hammertoss-malware hyödynsi Twitteriä, GitHubia ja pilvitallennuspalveluja näihin tarkoituksiin; vuonna 2018, että HeroRat-etäohjausväline käytti Telegram-viestintäprotokollaa samoihin tarkoituksiin; ja vuonna 2020 Turla-ryhmän ComRAT-malware siirtyi käyttämään Gmailia viestintäkehykseksi.

Kuitenkin nämä lähestymistavat edellyttävät edelleen jonkinlaista tunnistetietoa, joka on koodattu tartuttavaan ohjelmaan, mikä tekee sen löydettäväksi, vaikka usein vaikeasti, turvallisuusaloitteiden toimesta. Näissä tapauksissa selitettävän luonteen salaiset käskyt ja käyttäjäiden tunnistaminen voivat sallia näiden kanavien sulkemisen, yleensä poistamalla riippuvaisen botnetin toiminnan.

Salaiset tunnistimet

Kiinalaisten tutkijoiden esittämä DeepC2-menetelmä tekee komentosilta- ja valvontatunnisteiden kääntämisen käytännössä mahdottomaksi, koska kaikki, mitä koodi paljastaa, on neuroverkon algoritmi, jota ei voida helposti uudelleen toteuttaa sen erittäin optimoidussa (eli “käännetyssä”) muodossa.

DeepC2:n puitteissa bot etsii “botmasteria” etsimällä tietyn käyttäjäikonin (trendien aiheissa, jotta bot ei tarvitse etsiä koko Twitteriä), jonka yleiset piirteet on koodattu sen neuroverkkoon. Malwaren tekijät valitsevat sopivat ikonikuvat ennen kampanjan käynnistämistä ja kouluttavat neuroverkon niiden avulla. Johdettujen ominaisuusvektorit ja neuroverkko itsessään jaetaan osana haitallista kuormaa.

Kun komentosilta- ja valvontapalvelin julkaisee uuden käskyn, komentosilta- ja valvontapalvelimen takana oleva ohjaaja valitsee joitain trendikäsiä Twitterissä (tai muussa hyödynnettyssä sosiaalisessa verkostossa) ja luo näennäisesti tavallisia sosiaalisen median viestejä, jotka sisältävät kätkettyjä käskyjä. Trendien aihepiiri nostaa viestit löydettävään asemaan, jotta botit voivat helposti päästä käsiksi uusiin käskyihin etsimällä sosiaalista verkostoa.

DeepC2:n työkalu.

Estääkseen havaitsemisen jokainen Twitter-ikoni ja siihen liittyvä tili käytetään komentosilta- ja valvontakeinona vain kerran DeepC2:ssa, ja järjestelmä siirtyy uuteen esikäyttöön otettuun komentosilta- ja valvontaan sosiaalisessa verkostossa tämän tapahtuman jälkeen. Lisäksi botit poistavat käytetyn vektoritiedon, joka auttoi niitä tunnistamaan komentosilta- ja valvontailmia, yhden käskyn (yhden lähetetyn käskyn) jälkeen, jotta voidaan estää toistaminen oikeudellisilla turvallisuusmenetelmillä.

Komentosilta- ja valvontakäskyjen peittäminen

Lisäksi DeepC2 sisältää menetelmän, jolla voidaan estää selvästi havaittavien käskyjen havaitseminen Twitter-viesteissä, käyttämällä hash-kollisioita ja parannettua tietojen täydentämistä (EDA), joka perustuu tutkimukseen Protago Labs Researchista vuodelta 2019, yhteistyössä Dartmouth Collegeen ja Georgetownin yliopiston kanssa.

Hash-kollisio tapahtuu, kun kaksi eri tietokokonaisuutta on samanlainen tiiviste, eli kun kummallakin erillisellä tietokokonaisuudella on sama matemaattinen profiili – harvinainen tilanne, jota voidaan hyödyntää tässä tapauksessa luomaan käskymerkinnät näennäisesti viattomasta tekstisisällöstä.

Botit etsivät näitä esikoodattuja hash-arvoja komentosilta- ja valvontapalvelimen sosiaalisen median tuotoksista, jotka ne ovat pystyneet tunnistamaan komentosilta- ja valvontapalvelimiksi tunnistettujen avatar-ikonia perusteella. Koska komentosilta- ja valvontapalvelimen luomat twiitit ovat kontekstuaalisesti relevantteja kohdetoppiikkiin, ne ovat vaikeita tunnistaa poikkeamana, piilottaa viestien tarkoituksen.

Vaikka täydennetty tekstidata ei välttämättä ole kieliopillisesti oikein, sosiaalisen median verkostojen (kuten Twitterin) kieliopillinen epäjohdonmukaisuus piilottaa nämä “virheet” ymmärrettävyydessä.

IP-osoitteet välitetään botmasterilta botille jakamalla URL-osoite kahteen erilliseen hashiin hash-kollisioilla, jotka tunnistetaan ja yhdistetään ymmärrettävään IP-osoitteeseen etäbotien toimesta.

Tutkijat käyttivät seitsemää virtuaalipalvelinta simuloimaan maantieteellisesti monimuotoisia sijainteja. Komentosilta- ja valvontailmat johdettiin 40:stä matkapuhelimilla otetusta valokuvasta, jotka muunnettiin vektoreiksi koulutuksen aikana. Botit asennettiin myöhemmin koulutetun mallin ja vektoritiedon kanssa.

Kaikki käskyt kokeessa vastaanotettiin ja purettiin onnistuneesti virtualisoiduilla botverkoilla, vaikka joitain viestien jakelun tarpeettomuuksia, koska järjestelmä ei voi olla täysin varma, että jokainen viestin ilmoitus lähetetään miltä tahansa twiitiltä.

Torjuntatoimenpiteiden osalta tutkijat toteavat, että “orja-bottien” automaattinen tiheys, jolla ne etsivät Twitteristä komentosilta- ja valvontakäskyjä, ja tapa, jolla komentosilta- ja valvontapalvelin iteroidaan sarjan viestien läpi, voivat edustaa tunnistettavaa allekirjoitusta, jota voidaan käsitellä uusilla suojeluohjelmilla.

Lisäksi sosiaaliset verkostot voivat laskea erittäin tarkat visuaaliset erot, jotka on upotettu joukkoon komentosilta- ja valvontailmia, ja kehittää menetelmiä hälyttää näiden perusteella.