Bescherming van Twitter-gebaseerde botnet Command en Control-servers met neurale netwerken

Onderzoekers uit China hebben de ‘black box’-natuur van neurale netwerken gebruikt om een novate methode te ontwikkelen voor kwaadwillige botnets om te communiceren met hun Command en Control (C&C)-servers via Twitter op een manier die niet kan worden blootgelegd door beveiligingsonderzoekers, en die het moeilijk kan maken om hun operaties te stoppen.

Het bijgewerkte artikel dat op 2 augustus is gepubliceerd, heet DeepC2: AI-gepowered Covert Botnet Command en Control op OSNs.

De voorgestelde methode, die met succes is getest in een proef via Twitter, leert een neurale netwerk om het Twitter-account dat wordt gecontroleerd door een C&C-entity te identificeren op basis van zijn Twitter-gebruikersicoon. Zodra het commando-account is ‘geauthenticeerd’ door het neurale netwerk, kunnen de verborgen commando’s in zijn ogenschijnlijk onschuldige tweets worden uitgevoerd door het leger van computers dat is geïnfecteerd met de botnet.

Bron: https://arxiv.org/abs/2009.07707

Een botnet is een groep computers die zijn gecompromitteerd zodat ze kunnen worden gemarkeerd door centraal gelegen kwaadwillige actoren om verschillende soorten crowdsourced cyberaanvallen uit te voeren, waaronder DDoS-invasies, cryptocurrency-mijnbouw en spam-campagnes.

De strijd voor C&C-anonimiteit

Elke gecompromitteerde computer in de botnet ‘orkest’ heeft centrale richting nodig van de oorsprong van de malware, en moet dus op een of andere manier communiceren met een C&C-server. Echter, dit heeft traditioneel betekend dat beveiligingsonderzoekers de individuele botnet-infectie konden omkeren en de URL/s van de C&C-servers konden blootleggen, die meestal hard worden gecodeerd in de infectie.

Zodra de kwaadwillige C&C-domein bekend was, was het mogelijk om deze te blokkeren op netwerkniveau en om de oorsprong te onderzoeken in het kader van juridische actie.

In recente jaren is de trend voor C&C-servers veranderd van toegewijde http-domeinadressen naar het gebruik van populaire webservices zoals Gmail, Twitter, online-knipkaartservices en een verscheidenheid aan online sociale netwerken (OSNs).

In 2015 werd onthuld dat de malware-backdoor Hammertoss Twitter, GitHub en cloud-opslagservices voor deze doeleinden gebruikte; in 2018, dat de Remote Administration Tool (RAT) HeroRat gebruikte het Telegram-berichtprotocol voor hetzelfde doel; en dat in 2020 de Turla Group’s ComRAT-malware was overgestapt op het gebruik van Gmail als communicatiekader.

Echter, deze benaderingen vereisen nog steeds enige identificerende informatie die moet worden ingecodeerd in de infecterende software, waardoor deze kan worden ontdekt door beveiligingsinitiatieven. In dergelijke gevallen kan de verklarende aard van de kwaadwillige commando’s en de identificatie van gebruikers-IDs deze kanalen laten stoppen, meestal door de afhankelijke botnet te deactiveren.

Geheime identificatoren

De DeepC2-methode die door de Chinese onderzoekers is voorgesteld, maakt het omkeren van de C&C-identificerende informatie praktisch onmogelijk, aangezien de code alleen een ondoorzichtige neurale netwerk-algoritme zal onthullen dat niet gemakkelijk kan worden opnieuw geïmplementeerd in zijn hoge geoptimaliseerde (d.w.z. effectief ‘gecompileerde’) vorm.

Onder DeepC2 lokaliseert de bot de ‘botmaster’ door een specifiek gebruikersavatar te zoeken (in trending onderwerpen, zodat de bot niet alle tweets van Twitter hoeft te doorzoeken) wiens hoogwaardige functies zijn gecodeerd in zijn neurale netwerk. De auteurs van de malware selecteren geschikte icoonafbeeldingen voorafgaand aan de campagne-implementatie en trainen het neurale netwerk op deze. De afgeleide functievector en het neurale netwerk zelf worden als onderdeel van de kwaadwillige payload verdeeld.

Wanneer de C&C-server een nieuwe commando publiceert, kiest de leidende hand achter het commando enkele trending onderwerpen op Twitter (of welk sociaal netwerk dan ook dat wordt uitgebuit) en genereert ogenschijnlijk gewone sociale mediaberichten die ingebedde commando’s bevatten. De topicaliteit van de trend duwt de berichten naar een ontdekbare prominentie, zodat de bots gemakkelijk toegang kunnen krijgen tot nieuwe commando’s door het sociale netwerk te doorzoeken.

Workflow van DeepC2.

Om detectie te voorkomen, wordt elk Twitter-icoon en het bijbehorende account slechts één keer als C&C-mechanisme gebruikt onder DeepC2, met het systeem dat overgaat naar een verse vooraf gerolde C&C-OSN-handle na deze gebeurtenis. Bovendien zullen de bots de gebruikte vectorinformatie die hen hielp om C&C-avatars te identificeren, verwijderen na één gebruik (één commando verzonden), om verdere replay door forensische beveiligingsmethoden te belemmeren.

Verhulling van C&C-commando’s

Als een verdere hulp bij verhulling, bevat DeepC2 een methode om de detectie van expliciete commando’s in Twitter-berichten te voorkomen, door hash-collisie en verbeterde data-augmentatie (EDA) te gebruiken, de laatste gebaseerd op onderzoek uit 2019 van Protago Labs Research, in samenwerking met Dartmouth College en Georgetown University.

Een hash-collisie treedt op wanneer twee verschillende stukken gegevens een identieke checksum hebben, d.w.z. wanneer elk afzonderlijk stuk gegevens wiskundig equivalent is in profiel – een zeldzame situatie die kan worden uitgebuit, in dit geval, om commando-significatoren te creëren uit ogenschijnlijk onschuldige tekstinhoud.

De bots zoeken naar deze vooraf geprogrammeerde hashes in de sociale media-uitvoer van accounts die ze hebben kunnen identificeren als C&C-servers op basis van de herkende avatar-icoontjes. Aangezien de tweets gegenereerd door de C&C-commandant enige contextuele relevantie hebben voor de doelonderwerpenstroom, zijn ze moeilijk te identificeren als anomalieën, waardoor de intentie van de berichten wordt verborgen.

Hoewel de verbeterde tekstgegevens mogelijk niet grammaticaal correct zijn, verbergen de grammaticale inconsistenties van berichten op Twitter (en andere sociale medianetwerken) deze ‘glitches’ in begrijpelijkheid effectief.

IP-adressen worden door de botmaster aan de bots doorgegeven door de URL in twee afzonderlijke hashes met hash-collisie te splitsen, die door de externe bots worden geïdentificeerd en samengevoegd tot een begrijpelijk IP-adres.

De onderzoekers gebruikten zeven virtuele privéservers om geo-diverse locaties te simuleren. Doel-avatars werden afgeleid van 40 foto’s genomen met mobiele telefoons, die vervolgens werden omgezet in vectoren tijdens de training. De bots werden vervolgens in positie gebracht met het getrainde model en de vectorgegevens.

Alle commando’s in het experiment werden met succes ontvangen en geparsed door de gevirtualiseerde botnetwerken, hoewel met enige redundantie van berichtverspreiding, aangezien het systeem niet volledig zeker kan zijn dat elk exemplaar van een bericht van een bepaalde tweet wordt ontvangen.

Wat betreft tegenmaatregelen, merken de onderzoekers op dat de geautomatiseerde frequentie van de manier waarop ‘slaaf’-bots Twitter doorzoeken naar C&C-berichten, en de manier waarop de C&C-server door een reeks berichten itereert, mogelijk een identificeerbare handtekening kunnen vertegenwoordigen die kan worden aangepakt door nieuwe soorten beschermingskaders.

Verder kunnen OSNs mogelijk de specifieke visuele verschillen berekenen die zijn ingebakken in een reeks C&C-avatar-icoontjes, en methoden ontwikkelen om waarschuwingen te geven op basis van die criteria.