Protegendo Servidores de Controle e Comando de Botnets Baseados no Twitter com Redes Neurais

Pesquisadores da China utilizaram a natureza ‘caixa preta’ das redes neurais para criar um método inovador para que botnets maliciosos comuniquem-se com seus servidores de Controle e Comando (C&C) no Twitter de uma forma que não pode ser exposta por pesquisadores de segurança, e que pode dificultar o fechamento de suas operações.

O artigo atualizado publicado em 2 de agosto é chamado de DeepC2: Controle e Comando de Botnet Covert com IA em OSNs.

O método proposto, testado com sucesso em um teste no Twitter, treina uma rede neural para identificar a conta do Twitter controlada por uma entidade C&C com base em seu ícone de usuário do Twitter. Uma vez que a conta comandante tenha sido ‘autenticada’ pela rede neural, os comandos ocultos em seus tweets aparentemente inofensivos podem ser executados pelo exército de computadores infectados com o botnet.

Fonte: https://arxiv.org/abs/2009.07707

Um botnet é um grupo de computadores que foram comprometidos para que possam ser comandados por atores mal-intencionados centrais em diferentes tipos de ataques cibernéticos de crowdsourcing, incluindo incursões DDoS, mineração de criptomoedas e campanhas de spam.

A Luta pela Anonimidade do C&C

Cada computador comprometido no botnet ‘orquestra’ requer direção central dos criadores do malware, e, portanto, precisa se comunicar de alguma forma com um servidor C&C. No entanto, isso tradicionalmente significava que os pesquisadores de segurança podiam reverter o botnet individual e expor a URL do servidor C&C, geralmente codificado no malware.

Uma vez que o domínio C&C maligno era conhecido, era possível bloqueá-lo em um nível de rede e investigar suas origens para fins de ação legal.

Nos últimos anos, a tendência para servidores C&C se afastou de endereços de domínio http dedicados para o uso de serviços web populares, como Gmail, Twitter, serviços de área de transferência online e uma variedade de redes sociais online (OSNs).

Em 2015, foi revelado que a porta de acesso de malware Hammertoss usava Twitter, GitHub e serviços de armazenamento em nuvem para esses fins; em 2018, que a Ferramenta de Administração Remota (RAT) HeroRat usava o protocolo de mensagens Telegram para os mesmos fins; e que, em 2020, o malware ComRAT do grupo Turla migrara para usar o Gmail como um framework de comunicação.

No entanto, essas abordagens ainda exigem algum tipo de informação de identificação codificada no software de infecção, tornando-a descobrível, embora frequentemente com alguma dificuldade, por iniciativas de segurança. Nesses casos, a natureza explicável dos comandos maliciosos e a identificação de IDs de usuário podem permitir que esses canais sejam fechados, geralmente desabilitando o botnet dependente.

Identificadores Secretos

O método DeepC2 proposto pelos pesquisadores chineses torna a engenharia reversa das informações de identificação do C&C praticamente impossível, pois tudo o que o código revelará é um algoritmo de rede neural opaco que não pode ser facilmente reimplantado em sua forma altamente otimizada (ou seja, efetivamente ‘compilada’).

Com o DeepC2, o bot localiza o ‘botmaster’ procurando um avatar de usuário específico (em tópicos de tendência, para que o bot não precise vasculhar todo o Twitter) cujos recursos de alto nível foram codificados em sua rede neural. Os autores do malware selecionam imagens de ícones adequadas antes do deploy da campanha e treinam a rede neural com elas. Os vetores de recursos derivados e a rede neural em si são distribuídos como parte da carga maliciosa.

Quando o servidor C&C publica um novo comando, a mão orientadora por trás dele escolhe alguns tópicos de tendência no Twitter (ou em qualquer outra rede social que esteja sendo explorada) e gera posts de mídia social aparentemente comuns que contêm comandos embutidos. A tendência do tópico impulsiona os posts para uma proeminência descobrível, para que os bots possam facilmente acessar novos comandos vasculhando a rede social.

Fluxo de trabalho do DeepC2.

Para prevenir a detecção, cada ícone do Twitter e conta associada é usada como um mecanismo de C&C apenas uma vez sob o DeepC2, com o sistema passando para um novo identificador de C&C de OSN pré-rolado após o evento. Além disso, os bots excluem as informações de vetor usadas para identificar avatares de C&C após um uso (um comando enviado), para ainda mais impedir a reprodução por métodos de segurança forense.

Ofuscando Comandos de C&C

Como um auxílio adicional à ofuscação, o DeepC2 inclui um método para prevenir a detecção de comandos explícitos em mensagens do Twitter, usando colisão de hash e aumento de dados aprimorado (EDA), o último baseado em trabalho dos Laboratórios de Pesquisa Protago em 2019, em colaboração com a Universidade de Dartmouth e a Universidade de Georgetown.

Uma colisão de hash ocorre quando duas peças diferentes de dados têm um checksum idêntico, ou seja, quando cada peça distinta de dados é matematicamente equivalente em perfil – um cenário infrequente que pode ser explorado, neste caso, para criar signatários de comando a partir de texto de conteúdo aparentemente inocente.

Os bots procuram esses hashes pré-programados na saída de mídia social de contas que conseguiram identificar como servidores C&C com base nos ícones de avatar reconhecidos. Como os tweets gerados pelo comandante C&C terão alguma relevância contextual para o fluxo de tópico alvo, eles são difíceis de identificar como anomalias, ocultando a intenção dos posts.

Embora os dados de texto aumentados possam não ser gramaticalmente corretos, a inconsistência gramatical dos posts no Twitter (e em outras redes sociais) efetivamente esconde esses ‘glitches’ na compreensibilidade.

Os endereços IP são transmitidos pelo botmaster para os bots dividindo a URL em dois hashes separados com colisão de hash, que são identificados e concatenados em um endereço IP compreensível pelos bots remotos.

Os pesquisadores usaram sete servidores virtuais privados para simular locais geo-diversos. Avatares de destino foram derivados de 40 fotos tiradas por telefones celulares, que foram então convertidas em vetores durante o treinamento. Os bots foram subsequentemente colocados em posição com o modelo treinado e os dados de vetor.

Todos os comandos no experimento foram recebidos e analisados com sucesso pelas redes de bot virtualizadas, embora com alguma redundância de disseminação de mensagens, pois o sistema não pode ter certeza de que cada instância de uma mensagem será recebida de qualquer tweet específico.

Em termos de contramedidas, os pesquisadores observam que a frequência automatizada da forma como os ‘bots escravos’ vasculham o Twitter em busca de mensagens de C&C, e a forma como o servidor C&C itera por uma série de posts, poderia potencialmente representar uma assinatura identificável que poderia ser abordada por novos tipos de frameworks de proteção.

Além disso, as OSNs poderiam potencialmente calcular as diferenças visuais específicas que são incorporadas em uma matriz de ícones de avatar de C&C, e desenvolver métodos para levantar alertas com base nesses critérios.