Beskyttelse av Twitter-baserte botnet-kommandosentraler med neurale nettverk

Forskere fra Kina har brukt den “svarte boks”-egenskapen til neurale nettverk til å utvikle en ny metode for å kommunisere med kommandosentraler (C&C) for ondsinnet botnet over Twitter på en måte som ikke kan avsløres av sikkerhetsforskere, og som kan gjøre det vanskelig å stenge ned deres operasjoner.

Den oppdaterte rapporten som ble publisert 2. august, heter DeepC2: AI-drevet hemmelig botnet-kommando og kontroll på OSN-er.

Den foreslåtte metoden, som ble testet i en prøve over Twitter, trener et neuralt nettverk til å identifisere Twitter-kontoen som kontrolleres av en C&C-enhet basert på dens Twitter-brukerikon. Når kommandokontoen har blitt “autentisert” av det neurale nettverket, kan de skjulte kommandoene i dens åpenbart uskyldige tweets bli utført av hæren av datamaskiner som er infisert med botnet.

Kilde: https://arxiv.org/abs/2009.07707

Et botnet er en gruppe datamaskiner som er kompromittert så de kan styres av sentralt plasserte ondsinnete aktører til å utføre ulike typer crowdsourced cyberangrep, inkludert DDoS-angrep, kryptovalutabruking og spamkampanjer.

Kampen for C&C-anonymitet

Hver kompromittert datamaskin i botnet “orkesteret” trenger sentral styring fra opphavspersonene til malware, og må derfor kommunisere på noen måte med en C&C-server. Det har imidlertid tradisjonelt ment at sikkerhetsforskere har kunnet reversere enginere den enkelte botnet-infasjon og avsløre URL-ene til C&C-serverne, som vanligvis er hardkodet inn i infasjonen.

Når den ondsinnete C&C-domene var kjent, var det deretter mulig å blokkere den på nettverksnivå og å undersøke dens opphav i forbindelse med rettslig handling.

I de senere år har trenden for C&C-servere vendt seg bort fra dedikerte http-domenebaserte adresser mot bruk av populære netttjenester som Gmail, Twitter, online-klippebrettjenester og en rekke online sosiale nettverk (OSN-er).

I 2015 ble det avdekket at malware-backdøren Hammertoss brukte Twitter, GitHub og skytjenester for disse formålene; i 2018 at fjernstyringsverktøyet HeroRat brukte Telegram-meldingsprotokollen til samme formål; og at i 2020 Turla-gruppens ComRAT-malware hadde migrert til å bruke Gmail som kommunikasjonsrammeverk.

Men disse tilnærmingene krever fortsatt noen form for identifiserende informasjon som må være hardkodet inn i infeksjonssoftware, noe som gjør det mulig for sikkerhetsinitiativer å oppdage dem, om enn ofte med noen vanskeligheter. I slike tilfeller kan den forklarbare naturen til de ondsinnete kommandoene og identifiseringen av bruker-ID-er tillate disse kanalene å bli stengt, vanligvis ved å deaktivere det avhengige botnet.

Hemmelige identifikatorer

DeepC2-metoden foreslått av de kinesiske forskerne gjør det praktisk talt umulig å reversere C&C-identifiseringsinformasjon, siden all kode vil avsløre er en gjennomsiktig neuralt nettverkalgoritme som ikke lett kan implementeres på nytt i sin høyt optimerte (dvs. “kompilerte”) form.

Under DeepC2 lokaliserer boten kommandokontoen ved å søke etter en spesifikk brukerikon (i trending-emner, så boten ikke trenger å gjennomføre hele Twitter) hvis høynivåegenskaper er kodet inn i dens neurale nettverk. Malware-forfatterne velger egnet ikonbilder på forhånd før kampanjenedleggelsen og trener det neurale nettverket på disse. De avledede egenskapsvektorene og det neurale nettverket selv distribueres som en del av den skadelige nyttelasten.

Når C&C-serveren publiserer en ny kommando, velger den styrende hånden bak den noen trending-emner på Twitter (eller hvilket som helst sosialt nettverk som utnyttes) og genererer åpenbart vanlige sosiale medieinnlegg som inneholder innkapslede kommandoer. Emnets popularitet skyver innleggene til en oppdagbar fremtredenhet, så botene lett kan få tilgang til nye kommandoer ved å crawle sosialt nettverk.

Arbeidsflyt for DeepC2.

For å forhindre oppdagelse, brukes hver Twitter-ikon og tilhørende konto som en C&C-mekanisme bare én gang under DeepC2, med systemet flytter til en fersk forhåndsvalgt C&C-OSN-håndtering etter denne hendelsen. I tillegg sletter botene den brukte vektorinformasjonen som hjalp dem med å identifisere C&C-ikoner etter én bruk (én kommando sendt), for å ytterligere hindre gjentakelse ved hjelp av rettsmedisinske metoder.

Kamuflere C&C-kommandoer

Som et ytterligere hjelpemiddel til kamuflasje, inkluderer DeepC2 en metode for å forhindre oppdagelse av eksplisitte kommandoer i Twitter-meldinger, ved å bruke hash-kollisjon og forbedret dataforbedring (EDA), den siste basert på arbeid fra Protago Labs Research i 2019, i samarbeid med Dartmouth College og Georgetown University.

En hash-kollisjon oppstår når to forskjellige datastykker har en identisk checksum, dvs. når hvert distinkt datastykk er matematisk ekvivalent i profil – en sjelden hendelse som kan utnyttes, i dette tilfelle, til å skape kommandosignifikatorer fra åpenbart uskyldig tekstinnhold.

Botene søker etter disse forhåndsprogrammerte hashe i sosiale medieutgaven fra kontoer som de har kunnet identifisere som C&C-servere basert på de gjenkjente ikonikonene. Ettersom tweetene generert av C&C-kommandøren vil ha noen kontekstuell relevans til målemnet, er de vanskelige å identifisere som anomalier, og skjuler intensjonen bak innleggene.

Selv om den forbedrede tekstdataen kanskje ikke er grammatisk korrekt, skjuler den grammatisk inkonsistens av innlegg på Twitter (og andre sosiale medienettverk) effektivt disse ‘glitchene’ i forståelighet.

IP-adresser overføres av kommandøren til botene ved å dele URL-en inn i to separate hashe med hash-kollisjon, som blir identifisert og koblet sammen til en forståelig IP-adresse av de fjerne botene.

Forskerne brukte syv virtuelle private servere for å simulere geografisk diverse lokasjoner. Mål-ikoner ble avledet fra 40 bilder tatt med mobiltelefoner, som deretter ble konvertert til vektorer under trening. Botene ble deretter plassert i posisjon med det trente modellen og vektordataene.

Alle kommandoer i eksperimentet ble mottatt og parsert av de virtualiserte botnettverkene, om enn med en viss redundans av meldingsformidling, ettersom systemet ikke kan være helt sikker på at hver enkelt instans av en melding vil bli mottatt fra en bestemt tweet.

I forbindelse med mottiltak, merker forskerne at den automatiske frekvensen av måten “slave”-boter vil crawle Twitter etter C&C-meldinger, og måten C&C-serveren vil iterere gjennom en rekke innlegg, kunne potensielt representere en identifiserbar signatur som kunne håndteres av nye typer beskyttelsesrammeverk.

Furthermore, OSN-er kunne potensielt beregne de svært spesifikke visuelle forskjellene som er innbygget i en rekke C&C-ikonikon, og utvikle metoder for å utløse varsler basert på disse kriteriene.