Protejarea serverelor de comandă și control Twitter cu rețele neuronale

Cercetătorii din China au utilizat natura “cutie neagră” a rețelelor neuronale pentru a concepe o metodă nouă pentru botnet-urile malefice de a comunica cu serverele lor de comandă și control (C&C) pe Twitter, într-un mod care nu poate fi expus de către cercetătorii în domeniul securității și care ar putea face dificilă închiderea operațiunilor lor.

Articolul actualizat publicat pe 2 august se numește DeepC2: Comandă și control de botnet covert pe OSN-uri, alimentate de IA.

Metoda propusă, testată cu succes într-un trial pe Twitter, antrenează o rețea neuronală pentru a identifica contul de Twitter controlat de o entitate C&C pe baza iconului de utilizator al contului. Odată ce contul de comandă a fost “autentificat” de rețeaua neuronală, comenzile ascunse din tweet-urile sale aparent inofensive pot fi executate de armata de calculatoare infectate cu botnet.

Sursă: https://arxiv.org/abs/2009.07707

Un botnet este un grup de calculatoare compromise care pot fi conduse de actori răi centralizați pentru a efectua diverse tipuri de atacuri cibernetice, inclusiv incursiuni DDoS, minerit de criptomonede și campanii de spam.

Lupta pentru anonimitatea C&C

Fiecare calculator compromis din botnet “orchestră” necesită direcționare centrală de la originatorii malware-ului și, prin urmare, trebuie să comunice într-un fel cu un server C&C. Cu toate acestea, acest lucru a însemnat în mod tradițional că cercetătorii în domeniul securității au putut inversa ingineria individuală a infecției botnet și expune URL-urile serverelor C&C, de obicei, hardcodate în infecție.

Odată ce domeniul C&C malign a fost cunoscut, a fost posibil să îl blochezi la nivel de rețea și să investighezi originea lui în scopul unei acțiuni legale.

În ultimii ani, tendința pentru serverele C&C s-a îndepărtat de la adresele dedicate bazate pe domenii HTTP către utilizarea serviciilor web populare, cum ar fi Gmail, Twitter, servicii de clipboard online și o varietate de rețele sociale online (OSN-uri).

În 2015, a fost dezvăluit că malware-ul backdoor Hammertoss utiliza Twitter, GitHub și servicii de stocare în cloud pentru aceste scopuri; în 2018, că uneltele de administrare remote (RAT) HeroRat utilizau protocolul de mesagerie Telegram pentru aceleași scopuri; și că, în 2020, malware-ul ComRAT al grupului Turla a migrat către utilizarea Gmail ca cadru de comunicare.

Cu toate acestea, aceste abordări necesită încă o anumită informație de identificare care să fie hardcodată în software-ul de infectare, făcându-l descoperit, deși adesea cu dificultate, de inițiativele de securitate. În astfel de cazuri, natura explicabilă a comenzilor malefice și identificarea ID-urilor de utilizator pot permite închiderea acestor canale, de obicei, dezactivând botnet-ul dependent.

Identificatori secreți

Metoda DeepC2 propusă de cercetătorii chinezi face ca ingineria inversă a informațiilor de identificare C&C să fie practic imposibilă, deoarece tot ceea ce codul va dezvălui este un algoritm de rețea neuronală opacă care nu poate fi ușor reimplementat în forma sa puternic optimizată (adică “compilată”).

Sub DeepC2, botul localizează “stăpânul botnet” prin căutarea unui avatar de utilizator specific (în subiecte tendințe, astfel încât botul să nu fie nevoit să parcurgă tot Twitter) ale cărui caracteristici de nivel superior au fost codificate în rețeaua sa neuronală. Autorii malware-ului selectează imagini de iconuri adecvate înainte de lansarea campaniei și antrenează rețeaua neuronală pe acestea. Vectorii de caracteristici derivați și rețeaua neuronală însăși sunt distribuiți ca parte a încărcăturii malefice.

Când serverul C&C publică o nouă comandă, entitatea care conduce serverul alege unele subiecte tendințe pe Twitter (sau orice altă rețea socială care este exploatată) și generează postări aparent obișnuite care conțin comenzi încorporate. Tendința subiectului face ca postările să fie promovate la o proeminență descoperită, astfel încât boturile să poată accesa cu ușurință noi comenzi prin parcurgerea rețelei sociale.

Flux de lucru al DeepC2.

Pentru a preveni detectarea, fiecare icon de Twitter și cont asociat este utilizat ca mecanism C&C doar o dată sub DeepC2, sistemul mutându-se la o nouă mână C&C OSN pre-înrolată după eveniment. În plus, boturile vor șterge informațiile vectoriale utilizate pentru a identifica avatarurile C&C după o singură utilizare (o comandă trimisă), pentru a împiedica și mai mult reîncărcarea prin metode de securitate forensice.

Ofuscare a comenzilor C&C

Ca o măsură suplimentară de ofuscare, DeepC2 include o metodă pentru a preveni detectarea comenzilor explicite în mesaje Twitter, utilizând coliziuni de hash și augmentare de date îmbunătățită (EDA), aceasta din urmă bazată pe lucrări din laboratoarele Protago Labs Research din 2019, în colaborare cu Dartmouth College și Georgetown University.

O coliziune de hash apare atunci când două fragmente de date diferite au un checksum identic, adică atunci când fiecare fragment de date distinct este matematic echivalent în profil – un scenariu rar care poate fi exploatat, în acest caz, pentru a crea indicatori de comandă din conținut de text aparent inofensiv.

Boturile caută aceste hash-uri preprogramate în ieșirile de social media ale conturilor pe care le-au putut identifica ca servere C&C pe baza iconurilor de avatar recunoscute. Deoarece tweet-urile generate de comandantul C&C vor avea o anumită relevanță contextuală pentru fluxul de subiecte țintă, acestea sunt dificil de identificat ca anomalii, ascunzând intenția postărilor.

Deși datele textuale augmentate nu pot fi gramatical corecte, incoerența gramaticală a postărilor pe Twitter (și pe alte rețele sociale) ascunde eficient aceste ‘defecțiuni’ în înțelegere.

Adresele IP sunt transmise de către stăpânul botnet către boturi prin împărțirea URL-ului în două hash-uri separate cu coliziune de hash, care sunt identificate și concatenate într-o adresă IP inteligibilă de către boturile remote.

Cercetătorii au utilizat șapte servere private virtuale pentru a simula locații geo-diverse. Avatarurile țintă au fost derivate din 40 de fotografii realizate cu telefoane mobile, care au fost apoi convertite în vectori în timpul antrenamentului. Boturile au fost ulterior plasate cu modelul antrenat și datele vectoriale.

Toate comenzile din experiment au fost recepționate și analizate cu succes de rețelele de boturi virtualizate, deși cu o anumită redundanță a diseminării mesajelor, deoarece sistemul nu poate fi pe deplin sigur că fiecare instanță a unui mesaj va fi recepționată din orice tweet anume.

În ceea ce privește contramăsurile, cercetătorii notează că frecvența automată a modului în care boturile “sclave” vor parcurge Twitter pentru a căuta mesaje C&C și modul în care serverul C&C va itera printr-o serie de postări, ar putea reprezenta în mod potențial o semnătură identificabilă care ar putea fi abordată de noi tipuri de cadre de protecție.

În plus, OSN-urile ar putea, de asemenea, să calculeze diferențele vizuale foarte specifice încorporate într-o matrice de avataruri C&C și să dezvolte metode pentru a genera alerte pe baza acestor criterii.