Protezione dei server di comando e controllo dei botnet basati su Twitter con reti neurali

I ricercatori cinesi hanno utilizzato la natura “black box” delle reti neurali per elaborare un nuovo metodo per comunicare in modo malintenzionato con i server di comando e controllo (C&C) dei botnet su Twitter in un modo che non può essere esposto dai ricercatori di sicurezza, e che potrebbe rendere difficile la chiusura delle loro operazioni.

Il documento aggiornato pubblicato il 2 agosto si intitola DeepC2: Comando e controllo di botnet covert con intelligenza artificiale su OSN.

Il metodo proposto, testato con successo in un trial su Twitter, addestra una rete neurale per identificare l’account Twitter controllato da un’entità C&C in base al suo icona utente. Una volta che l’account di comando è stato “autenticato” dalla rete neurale, i comandi nascosti nei suoi tweet apparentemente innocui possono essere eseguiti dall’esercito di computer infettati con il botnet.

Fonte: https://arxiv.org/abs/2009.07707

Un botnet è un gruppo di computer che sono stati compromessi in modo che possano essere diretti da attori malintenzionati centralizzati per eseguire vari tipi di attacchi informatici crowd-sourced, tra cui incursioni DDoS, mining di criptovalute e campagne di spam.

La lotta per l’anonimato C&C

Ogni computer compromesso nel botnet “orchestra” richiede una direzione centrale dagli autori del malware, e quindi deve comunicare in qualche modo con un server C&C. Tuttavia, ciò ha tradizionalmente significato che i ricercatori di sicurezza sono stati in grado di reverse-engineering l’infezione del botnet individuale e esporre l’URL del server C&C, di solito hard-codificato nell’infezione.

Una volta che il dominio C&C maligno era noto, era possibile bloccarlo a livello di rete e indagare sulle sue origini per azioni legali.

Negli ultimi anni, la tendenza per i server C&C si è spostata dall’uso di indirizzi di dominio http dedicati all’uso di servizi web popolari come Gmail, Twitter, servizi di clipboard online e una varietà di reti sociali online (OSN).

Nel 2015 è stato rivelato che il backdoor del malware Hammertoss stava utilizzando Twitter, GitHub e servizi di archiviazione cloud per questi scopi; nel 2018, che lo strumento di amministrazione remota (RAT) HeroRat utilizzava il protocollo di messaggistica Telegram per gli stessi scopi; e che nel 2020 il malware ComRAT del gruppo Turla aveva migrato all’uso di Gmail come framework di comunicazione.

Tuttavia, questi approcci richiedono ancora alcuni tipi di informazioni di identificazione da essere hard-codificate nel software di infezione, rendendolo scopribile, sebbene spesso con difficoltà, dalle iniziative di sicurezza. In tali casi, la natura esplicabile dei comandi malintenzionati e l’identificazione degli ID utente possono consentire a questi canali di essere chiusi, di solito disabilitando il botnet dipendente.

Identificatori segreti

Il metodo DeepC2 proposto dai ricercatori cinesi rende la reverse-engineering delle informazioni di identificazione C&C praticamente impossibile, poiché tutto ciò che il codice rivelerà è un algoritmo di rete neurale opaco che non può essere facilmente riimplementato nella sua forma altamente ottimizzata (cioè effettivamente “compilata”).

Sotto DeepC2, il bot individua il “botmaster” cercando un’icona utente specifica (nei topic di tendenza, in modo che il bot non debba setacciare tutto Twitter) le cui caratteristiche di alto livello sono state codificate nella sua rete neurale. Gli autori del malware selezionano immagini di icona adatte in anticipo rispetto al dispiegamento della campagna e addestrano la rete neurale su di esse. I vettori di caratteristiche derivati e la rete neurale stessa vengono distribuiti come parte del payload malintenzionato.

Quando il server C&C pubblica un nuovo comando, la mano guida dietro di esso sceglie alcuni argomenti di tendenza su Twitter (o qualsiasi altra rete sociale sfruttata) e genera post di social media apparentemente ordinari che contengono comandi incorporati. La popolarità dell’argomento di tendenza spinge i post a una prominenza scopribile, in modo che i bot possano facilmente accedere a nuovi comandi strisciando la rete sociale.

Flusso di lavoro di DeepC2.

Per prevenire la rilevazione, ogni icona di Twitter e account associato viene utilizzato come meccanismo C&C solo una volta sotto DeepC2, con il sistema che si sposta su un nuovo handle OSN C&C pre-rotolato dopo questo evento. Inoltre, i bot elimineranno le informazioni vettoriali utilizzate che li hanno aiutati a identificare le icone C&C dopo un solo uso (un comando inviato), per ulteriormente ostacolare la riproduzione dei metodi di sicurezza forensi.

Oscuramento dei comandi C&C

Come ulteriore aiuto per l’oscuramento, DeepC2 include un metodo per prevenire la rilevazione di comandi espliciti nei messaggi di Twitter, utilizzando collisioni di hash e un miglioramento dei dati (EDA), quest’ultimo basato su lavoro del 2019 dei laboratori di ricerca Protago, in collaborazione con il Dartmouth College e l’Università di Georgetown.

Una collisione di hash si verifica quando due pezzi di dati diversi hanno un checksum identico, cioè quando ogni pezzo di dati distinto è matematicamente equivalente nel profilo – uno scenario infrequente che può essere sfruttato, in questo caso, per creare significatori di comando da testo apparentemente innocuo.

I bot cercano questi hash pre-programmati nell’output dei social media degli account che sono stati in grado di identificare come server C&C in base alle icone di avatar riconosciute. Poiché i tweet generati dal comandante C&C avranno una certa rilevanza contestuale per il flusso di argomenti di destinazione, sono difficili da identificare come anomalie, nascondendo l’intento dei post.

Sebbene i dati di testo aumentati possano non essere grammaticalmente corretti, l’inconsistenza grammaticale dei post su Twitter (e altre reti sociali) nasconde efficacemente questi ‘glitch’ nella comprensibilità.

Gli indirizzi IP vengono trasmessi dal botmaster ai bot dividendo l’URL in due hash separati con collisione di hash, che vengono identificati e concatenati in un indirizzo IP comprensibile dai bot remoti.

I ricercatori hanno utilizzato sette server virtuali privati per simulare posizioni geodiverse. Le icone di destinazione sono state derivate da 40 foto scattate con telefoni cellulari, che sono state poi convertite in vettori durante l’addestramento. I bot sono stati successivamente posizionati con il modello addestrato e i dati vettoriali.

Tutti i comandi nell’esperimento sono stati ricevuti e analizzati con successo dalle reti di bot virtualizzate, sebbene con una certa ridondanza di diffusione del messaggio, poiché il sistema non può essere completamente sicuro che ogni istanza di un messaggio verrà ricevuta da un particolare tweet.

In termini di contromisure, i ricercatori notano che la frequenza automatizzata del modo in cui i bot “schiavi” setacciano Twitter per i messaggi C&C e il modo in cui il server C&C itererà attraverso una serie di post, potrebbe potenzialmente rappresentare una firma identificabile che potrebbe essere affrontata da nuovi tipi di framework protettivi.

Inoltre, le OSN potrebbero potenzialmente calcolare le differenze visive molto specifiche che sono incorporate in una matrice di icone di avatar C&C e sviluppare metodi per generare avvisi in base a quei criteri.