Melindungi Server Komando dan Kontrol Botnet Berbasis Twitter dengan Jaringan Saraf

Peneliti dari Cina telah menggunakan sifat ‘black box’ dari jaringan saraf untuk merancang metode baru untuk botnet jahat berkomunikasi dengan server Komando dan Kontrol (C&C) mereka melalui Twitter dengan cara yang tidak dapat diungkap oleh peneliti keamanan, dan dapat membuatnya sulit untuk mematikan operasi mereka.

Makalah yang diperbarui paper yang dirilis pada 2 Agustus disebut DeepC2: AI-powered Covert Botnet Command and Control on OSNs.

Metode yang diusulkan, yang telah diuji coba dengan sukses di Twitter, melatih jaringan saraf untuk mengidentifikasi akun Twitter yang dikendalikan oleh entitas C&C berdasarkan ikon pengguna Twitter. Setelah akun yang memerintahkan telah ‘diotentikasi’ oleh jaringan saraf, perintah tersembunyi dalam tweet yang tampaknya tidak berbahaya dapat dijalankan oleh pasukan komputer yang telah terinfeksi dengan botnet.

Sumber: https://arxiv.org/abs/2009.07707

Botnet adalah sekelompok komputer yang telah dikompromikan sehingga dapat dimanipulasi oleh pelaku jahat yang terletak di pusat untuk melakukan berbagai jenis serangan siber, termasuk serangan DDoS, penambangan cryptocurrency, dan kampanye spam.

Perjuangan untuk Anonimitas C&C

Setiap komputer yang dikompromikan dalam botnet ‘orkestra’ memerlukan arahan sentral dari pembuat malware, dan因此 harus berkomunikasi dengan server C&C. Namun, ini telah secara tradisional berarti bahwa peneliti keamanan dapat melakukan reverse-engineering infeksi botnet individu dan mengungkap URL/s dari server C&C, yang biasanya dikodekan secara keras ke dalam infeksi.

Setelah domain C&C yang jahat diketahui, maka memungkinkan untuk memblokirnya pada tingkat jaringan, dan untuk menyelidiki asal-usulnya dalam rangka tindakan hukum.

Belakangan ini, tren untuk server C&C telah bergeser dari alamat domain http khusus ke penggunaan layanan web populer seperti Gmail, Twitter, layanan clipboard online, dan berbagai jaringan sosial online (OSNs).

Pada 2015, itu dibongkar bahwa backdoor malware Hammertoss menggunakan Twitter, GitHub, dan layanan penyimpanan cloud untuk tujuan ini; pada 2018, bahwa alat administrasi jarak jauh (RAT) HeroRat menggunakan protokol pesan Telegram untuk tujuan yang sama; dan bahwa pada 2020, malware ComRAT dari kelompok Turla telah bermigrasi ke menggunakan Gmail sebagai kerangka komunikasi.

Pengidentifikasi Rahasia

Metode DeepC2 yang diusulkan oleh peneliti Cina membuat reverse-engineering informasi pengidentifikasi C&C hampir mustahil, karena semua yang akan diungkap oleh kode adalah algoritma jaringan saraf yang tidak transparan yang tidak dapat dengan mudah diimplementasikan kembali dalam bentuk yang sangat dioptimalkan (yaitu ‘dikompilasi’).

Di bawah DeepC2, bot mencari akun ‘botmaster’ dengan mencari ikon pengguna tertentu (di topik tren, sehingga bot tidak perlu menjelajahi semua Twitter) yang fitur tingkat tingginya telah dikodekan ke dalam jaringan saraf. Pembuat malware memilih gambar ikon yang sesuai sebelumnya dan melatih jaringan saraf pada gambar-gambar tersebut. Vektor fitur yang dihasilkan dan jaringan saraf itu sendiri didistribusikan sebagai bagian dari payload berbahaya.

Ketika server C&C menerbitkan perintah baru, pengendali di baliknya memilih beberapa topik tren di Twitter (atau jaringan sosial lain yang dieksploitasi) dan menghasilkan postingan media sosial yang tampaknya biasa-biasa saja yang berisi perintah tersembunyi. Ketrendnya topik tersebut mendorong postingan ke prominen yang dapat ditemukan, sehingga bot dapat dengan mudah mengakses perintah baru dengan menjelajahi jaringan sosial.

Alur Kerja DeepC2.

Mengaburkan Perintah C&C

Sebagai tambahan untuk mengaburkan, DeepC2 termasuk metode untuk mencegah deteksi perintah eksplisit dalam pesan Twitter, dengan menggunakan tabrakan hash dan augmentasi data ditingkatkan (EDA), yang terakhir berdasarkan kerja dari Protago Labs Research pada 2019, dalam kolaborasi dengan Dartmouth College dan Georgetown University.

Tabrakan hash terjadi ketika dua potongan data yang berbeda memiliki checksum yang identik, yaitu ketika setiap potongan data yang berbeda secara matematis setara dalam profil – sebuah skenario yang jarang terjadi yang dapat dieksploitasi, dalam hal ini, untuk membuat penanda perintah dari teks yang tampaknya tidak berbahaya.

Bot mencari hash yang telah diprogram sebelumnya dalam output media sosial dari akun yang telah diidentifikasi sebagai server C&C berdasarkan ikon avatar yang dikenali. Karena tweet yang dihasilkan oleh komandan C&C memiliki kontekstual relevansi dengan aliran topik target, mereka sulit untuk diidentifikasi sebagai anomali, menyembunyikan niat dari postingan.

Meskipun data teks yang ditingkatkan mungkin tidak gramatikal benar, inkonsistensi gramatikal dari postingan di Twitter (dan jaringan sosial lain) secara efektif menyembunyikan ‘glitches’ dalam pemahaman.

Peneliti menggunakan tujuh server virtual pribadi untuk mensimulasikan lokasi yang beragam secara geografis. Avatar target dihasilkan dari 40 foto yang diambil oleh ponsel, yang kemudian diubah menjadi vektor selama pelatihan. Bot kemudian ditempatkan dengan model yang telah dilatih dan data vektor.

Semua perintah dalam eksperimen diterima dan diproses dengan sukses oleh jaringan bot virtual, meskipun dengan beberapa redundansi pengiriman pesan, karena sistem tidak dapat sepenuhnya yakin bahwa setiap contoh pesan akan diterima dari tweet tertentu.

Dalam hal tindakan pencegahan, peneliti mencatat bahwa frekuensi otomatis dari cara ‘slave’ bot akan menjelajahi Twitter untuk mencari pesan C&C, dan cara server C&C akan mengulangi serangkaian postingan, bisa mewakili tanda tangan yang dapat diatasi oleh kerangka pelindung baru.

Lebih lanjut, OSN bisa menghitung perbedaan visual yang sangat spesifik yang dimasukkan ke dalam array ikon avatar C&C, dan mengembangkan metode untuk mengangkat peringatan berdasarkan kriteria tersebut.