Protection des serveurs de commandes et de contrôle de botnets basés sur Twitter avec des réseaux de neurones

Des chercheurs chinois ont utilisé la nature « boîte noire » des réseaux de neurones pour concevoir une nouvelle méthode permettant aux botnets malveillants de communiquer avec leurs serveurs de commandes et de contrôle (C&C) sur Twitter d’une manière qui ne peut pas être exposée par les chercheurs en sécurité, et qui pourrait rendre difficile la fermeture de leurs opérations.

Le document mis à jour publié le 2 août s’intitule DeepC2: Commande et contrôle de botnet clandestin basé sur l’IA sur les réseaux sociaux.

La méthode proposée, testée avec succès dans un essai sur Twitter, forme un réseau de neurones pour identifier le compte Twitter contrôlé par une entité C&C en fonction de son icône d’utilisateur. Une fois que le compte de commandement a été « authentifié » par le réseau de neurones, les commandes cachées dans ses tweets apparemment innocents peuvent être exécutées par l’armée d’ordinateurs infectés par le botnet.

Source: https://arxiv.org/abs/2009.07707

Un botnet est un groupe d’ordinateurs qui ont été compromis de telle sorte qu’ils peuvent être dirigés par des acteurs malveillants centralement localisés pour effectuer divers types d’attaques cybernétiques de crowd-sourcing, notamment des incursions DDoS, des opérations de minage de cryptomonnaies et des campagnes de spam.

La lutte pour l’anonymat C&C

Chaque ordinateur compromis dans le botnet « orchestre » nécessite une direction centrale de la part des créateurs du logiciel malveillant, et doit donc communiquer d’une manière ou d’une autre avec un serveur C&C. Cependant, cela a traditionnellement signifié que les chercheurs en sécurité pouvaient inverser le processus d’infection du botnet individuel et exposer l’URL du serveur C&C, généralement codé en dur dans l’infection.

Une fois que le domaine C&C malveillant était connu, il était alors possible de le bloquer au niveau du réseau et d’enquêter sur ses origines dans le but de prendre des mesures légales.

Ces dernières années, la tendance pour les serveurs C&C s’est éloignée des adresses de domaine http dédiées vers l’utilisation de services Web populaires tels que Gmail, Twitter, des services de presse-papiers en ligne et une variété de réseaux sociaux (RS).

En 2015, il a été révélé que la porte dérobée Hammertoss utilisait Twitter, GitHub et des services de stockage en ligne pour ces objectifs; en 2018, que l’outil d’administration à distance HeroRat utilisait le protocole de messagerie Telegram pour les mêmes fins; et que, en 2020, le logiciel malveillant ComRAT du groupe Turla avait migré vers l’utilisation de Gmail en tant que cadre de communication.

Cependant, ces approches nécessitent toujours une certaine information d’identification pour être codée en dur dans le logiciel d’infection, ce qui la rend découvrable, bien que souvent avec difficulté, par les initiatives de sécurité. Dans de tels cas, la nature explicite des commandes malveillantes et l’identification des ID d’utilisateur peuvent permettre à ces canaux d’être fermés, ce qui désactive généralement le botnet dépendant.

Identificateurs secrets

La méthode DeepC2 proposée par les chercheurs chinois rend pratiquement impossible l’ingénierie inverse de l’information d’identification C&C, puisque tout ce que le code révélera est un algorithme de réseau de neurones opaque qui ne peut pas être facilement réimplémenté sous sa forme hautement optimisée (c’est-à-dire effectivement « compilée »).

Sous DeepC2, le bot localise le « botmaster » en recherchant une icône d’utilisateur spécifique (dans les sujets tendance, de sorte que le bot n’a pas besoin de parcourir tout Twitter) dont les fonctionnalités de niveau élevé ont été codées dans son réseau de neurones. Les auteurs du logiciel malveillant sélectionnent à l’avance des images d’icônes appropriées pour la campagne et forment le réseau de neurones sur celles-ci. Les vecteurs de fonctionnalités dérivés et le réseau de neurones lui-même sont distribués dans la charge utile malveillante.

Lorsque le serveur C&C publie une nouvelle commande, la main directrice derrière celle-ci choisit certains sujets tendance sur Twitter (ou tout autre réseau social exploité) et génère des publications de médias sociaux apparemment ordinaires qui contiennent des commandes intégrées. La pertinence des sujets tendance pousse les publications à une importance découvrable, de sorte que les bots peuvent facilement accéder à de nouvelles commandes en parcourant le réseau social.

Workflow de DeepC2.

Pour éviter la détection, chaque icône Twitter et compte associé est utilisé comme mécanisme C&C uniquement une fois sous DeepC2, avec le système passant à une nouvelle poignée de compte C&C OSN fraîche après cet événement. De plus, les bots supprimeront les informations de vecteur utilisées pour identifier les icônes C&C après une utilisation (un message envoyé), afin de gêner encore davantage la répétition par des méthodes de sécurité forensiques.

Obscurcir les commandes C&C

Comme un moyen supplémentaire d’obscurcissement, DeepC2 inclut une méthode pour empêcher la détection de commandes explicites dans les messages Twitter, en utilisant collision de hachage et une augmentation de données améliorée (EDA), cette dernière basée sur travail du Protago Labs Research en 2019, en collaboration avec Dartmouth College et l’Université de Georgetown.

Une collision de hachage se produit lorsque deux pièces de données différentes ont une somme de contrôle identique, c’est-à-dire lorsque chaque pièce de données distincte est mathématiquement équivalente en profil – un scénario peu fréquent qui peut être exploité, dans ce cas, pour créer des signifiants de commande à partir de contenu de texte apparemment innocent.

Les bots recherchent ces hachages préprogrammés dans la production de médias sociaux des comptes qu’ils ont pu identifier comme serveurs C&C en fonction des icônes d’avatars reconnues. Puisque les tweets générés par le commandant C&C ont une certaine pertinence contextuelle par rapport au flux de sujets ciblés, ils sont difficiles à identifier comme des anomalies, dissimulant l’intention des publications.

Bien que les données de texte augmentées puissent ne pas être grammaticalement correctes, l’incohérence grammaticale des publications sur Twitter (et d’autres réseaux sociaux) cache efficacement ces « bogues » de compréhensibilité.

Les adresses IP sont transmises par le botmaster aux bots en divisant l’URL en deux hachages distincts avec collision de hachage, qui sont identifiés et concaténés en une adresse IP compréhensible par les bots distants.

Les chercheurs ont utilisé sept serveurs privés virtuels pour simuler des emplacements géodivers. Les avatars cibles ont été dérivés de 40 photos prises par des téléphones mobiles, qui ont ensuite été converties en vecteurs pendant la formation. Les bots ont ensuite été placés avec le modèle formé et les données de vecteur.

Toutes les commandes dans l’expérience ont été reçues et analysées avec succès par les réseaux de bots virtualisés, bien qu’avec une certaine redondance de diffusion de message, car le système ne peut pas être entièrement certain que chaque instance d’un message sera reçue à partir d’un tweet particulier.

En termes de contre-mesures, les chercheurs notent que la fréquence automatisée de la façon dont les « esclaves » bots vont parcourir Twitter pour les messages C&C, et la façon dont le serveur C&C va itérer à travers une série de publications, pourraient potentiellement représenter une signature identifiable qui pourrait être abordée par de nouveaux types de cadres de protection.

De plus, les RS pourraient potentiellement calculer les différences visuelles très spécifiques qui sont intégrées dans un tableau d’icônes d’avatars C&C, et développer des méthodes pour déclencher des alertes en fonction de ces critères.