Ochrona serwerów Command and Control botnetów opartych na Twitterze za pomocą sieci neuronowych

Naukowcy z Chin wykorzystali “czarną skrzynkę” natury sieci neuronowych, aby opracować nową metodę ukrywania komunikacji między złośliwymi botnetami a serwerami Command and Control (C&C) na Twitterze w sposób, który nie może być wykryty przez analityków bezpieczeństwa, co utrudnia wykrycie i zatrzymanie ich działań.

Zaktualizowany artykuł opublikowany 2 sierpnia nosi tytuł DeepC2: AI-powered Covert Botnet Command and Control on OSNs.

Proponowana metoda, która została pomyślnie przetestowana na Twitterze, polega na tym, że sieć neuronowa identyfikuje konto Twittera kontrolowane przez jednostkę C&C na podstawie jego ikony użytkownika. Gdy konto dowodzące zostało “uwierzytelnione” przez sieć neuronową, ukryte polecenia w jego pozornie niewinnych tweetach mogą być wykonywane przez armię zainfekowanych komputerów.

Źródło: https://arxiv.org/abs/2009.07707

Botnet to grupa komputerów, które zostały naruszone, aby mogły być kierowane przez centralnie położone jednostki atakujące w celu wykonywania różnych rodzajów ataków crowdsourcingowych, w tym DDoS, wydobywania kryptowalut i kampanii spamowych.

Walka o anonimowość C&C

Każdy kompromitowany komputer w botnet “orkiestrze” wymaga centralnego kierowania od twórców oprogramowania szkodliwego, a więc musi się komunikować w jakiś sposób z serwerem C&C. Jednak tradycyjnie oznaczało to, że analitycy bezpieczeństwa mogli odwrócić inżynierię poszczególnych infekcji botnet i ujawnić adresy URL serwerów C&C, zwykle zakodowane w infekcji.

Gdy tylko znany był zły adres C&C, możliwe było zablokowanie go na poziomie sieci i zbadanie jego pochodzenia w celu podjęcia działań prawnych.

W ostatnich latach trend serwerów C&C zmienił się w kierunku korzystania z popularnych usług internetowych, takich jak Gmail, Twitter, usługi schowka online i różne sieci społeczne (OSNs).

W 2015 roku ujawniono, że backdoor Hammertoss wykorzystywał Twitter, GitHub i usługi magazynowania w chmurze do tych celów; w 2018 roku, że narzędzie administracyjne HeroRat wykorzystywało protokół komunikacyjny Telegram do tych samych celów; oraz w 2020 roku, że malware ComRAT grupy Turla przeszedł na korzystanie z Gmail jako ramy komunikacyjnej.

Jednak te podejścia nadal wymagają pewnych informacji identyfikujących, które muszą być zakodowane w zainfekowanym oprogramowaniu, co sprawia, że mogą być odkryte, choć często z pewnymi trudnościami, przez inicjatywy bezpieczeństwa. W takich przypadkach możliwe jest wyłączenie tych kanałów, zwykle wyłączając zależny botnet.

Tajne identyfikatory

Metoda DeepC2 proponowana przez chińskich naukowców sprawia, że odwrócenie inżynierii informacji identyfikującej C&C jest praktycznie niemożliwe, ponieważ wszystko, co kod ujawni, to nieprzezroczysty algorytm sieci neuronowej, który nie może być łatwo ponownie zaimplementowany w jego wysoko zoptymalizowanej (tj. skutecznie “skompilowanej”) formie.

W ramach DeepC2 bot lokalizuje “botmastera”, wyszukując określoną ikonę użytkownika (w popularnych tematach, aby bot nie musiał przeszukiwać całego Twittera), której cechy na wysokim poziomie zostały zakodowane w jego sieci neuronowej. Autorzy oprogramowania szkodliwego wybierają odpowiednie ikony w przedsprzedaży i trenują sieć neuronową na nich. Wyprowadzone wektory cech i sama sieć neuronowa są rozpowszechniane jako część ładunku złośliwego.

Gdy serwer C&C publikuje nowe polecenie, osoba kierująca nim wybiera niektóre popularne tematy na Twitterze (lub innej sieci społecznej, która jest wykorzystywana) i generuje pozornie zwykłe posty w mediach społecznościowych, które zawierają osadzone polecenia. Tematyka trendu powoduje, że posty są dostępne, dzięki czemu boty mogą łatwo uzyskać nowe polecenia, przeszukując sieć społecznościową.

Przepływ pracy DeepC2.

Aby uniknąć wykrycia, każda ikona Twittera i powiązane konto są używane jako mechanizm C&C tylko raz w ramach DeepC2, a system przechodzi do nowego, wcześniej przygotowanego konta C&C po tym zdarzeniu. Dodatkowo boty usuwają użyte informacje wektorowe, które pomogły im zidentyfikować awatary C&C po jednorazowym użyciu (po wysłaniu jednego polecenia), aby dalej utrudnić odtworzenie przez metody bezpieczeństwa sądowe.

Zasłanianie poleceń C&C

Jako dalsze ułatwienie zasłaniania, DeepC2 zawiera metodę zapobiegania wykryciu jawnych poleceń w wiadomościach Twitter, wykorzystując kolizje hash i zaawansowaną augmentację danych (EDA), opartą na pracy z laboratoriów badawczych Protago w 2019 roku, we współpracy z Dartmouth College i Georgetown University.

Kolizja hash występuje, gdy dwa różne dane mają takie same sumy kontrolne, tj. gdy każdy odrębny element danych jest matematycznie równoważny w profilu – rzadkie zjawisko, które może być wykorzystane w tym przypadku do tworzenia znaczników poleceń z pozornie niewinnych treści tekstowych.

Boty wyszukują te zaprogramowane hasze w danych wyjściowych kont społecznościowych, które zostały zidentyfikowane jako serwery C&C na podstawie rozpoznanych ikon awatarów. Ponieważ tweety generowane przez dowodzącego C&C mają pewne kontekstowe powiązania z docelowym strumieniem tematów, trudno je zidentyfikować jako anomalie, ukrywając intencję postów.

Chociaż dane tekstowe z augmentacją mogą nie być poprawne gramatycznie, niepoprawność gramatyczna postów na Twitterze (i innych sieciach społecznych) skutecznie ukrywa te ‘błędy’ w zrozumiałości.

Adresy IP są przekazywane przez botmastera botom przez podział adresu URL na dwa oddzielne hasze z kolizją hash, które są identyfikowane i łączone w czytelny adres IP przez oddalone boty.

Naukowcy wykorzystali siedem serwerów wirtualnych prywatnych, aby symulować geo-rozproszone lokalizacje. Docelowe awatary zostały pochodne z 40 zdjęć wykonanych telefonem komórkowym, które zostały następnie przekonwertowane na wektory podczas treningu. Boty zostały następnie umieszczone w pozycji z wytrenowanym modelem i danymi wektorowymi.

Wszystkie polecenia w eksperymencie zostały pomyślnie odebrane i sparsowane przez sieci botów wirtualnych, chociaż z pewnym nadmiarem rozpowszechniania wiadomości, ponieważ system nie może być całkowicie pewny, że każda instancja wiadomości zostanie odebrana z dowolnego tweetu.

Co się tyczy przeciwdziałania, naukowcy zauważają, że zautomatyzowana częstotliwość, z jaką “niewolne” boty przeszukują Twitter w poszukiwaniu wiadomości C&C, oraz sposób, w jaki serwer C&C iteruje przez serię postów, mogą potencjalnie reprezentować rozpoznawalny sygnaturę, która mogłaby być zaadresowana przez nowe typy ram ochronnych.

Ponadto sieci społeczne mogą potencjalnie obliczyć bardzo specyficzne różnice wizualne, które są wbudowane w tablicę ikon awatarów C&C, oraz opracować metody podnoszenia alarmów na podstawie tych kryteriów.