การปกป้องเซิร์ฟเวอร์ Command และ Control ของ Twitter-Based Botnet ด้วยเครือข่ายประสาทเทียม

นักวิจัยจากประเทศจีนได้ใช้ลักษณะ ‘กล่องดำ’ ของเครือข่ายประสาทเทียมเพื่อสร้างวิธีการใหม่สำหรับบอทเน็ตที่เป็นอันตรายในการสื่อสารกับเซิร์ฟเวอร์ Command และ Control (C&C) ผ่าน Twitter ในวิธีที่ไม่สามารถถูกเปิดเผยโดยนักวิจัยด้านความปลอดภัย และอาจทำให้ยากต่อการปิดการทำงานของพวกเขา

เอกสารที่อัปเดต เอกสาร ที่เผยแพร่เมื่อวันที่ 2 สิงหาคม มีชื่อเรื่องว่า DeepC2: AI-powered Covert Botnet Command and Control on OSNs

วิธีการที่เสนอได้รับการทดสอบในแบบฝึกหัดบน Twitter โดยฝึกเครือข่ายประสาทเทียมเพื่อระบุบัญชี Twitter ที่ควบคุมโดย C&C entity ตามไอคอนผู้ใช้ Twitter ของบัญชีนั้น เมื่อบัญชีที่ควบคุมได้รับการ ‘รับรอง’ จากเครือข่ายประสาทเทียมแล้ว คำสั่งซ่อนอยู่ในทวีตที่ดูเหมือนเป็นเรื่องปกติสามารถถูกดำเนินการโดยกองทัพคอมพิวเตอร์ที่ติดไวรัสบอทเน็ต

Source: https://arxiv.org/abs/2009.07707

บอทเน็ตคือกลุ่มของคอมพิวเตอร์ที่ถูกบุกรุกเพื่อให้สามารถถูกควบคุมโดยผู้กระทำที่อยู่ห่างไกลในการโจมตีทางไซเบอร์หลายประเภท รวมถึงการโจมตี DDoS การขุดเหรียญคริปโตเคอร์เรนซี และการรณรงค์สแปม

การดิ้นรนเพื่อความเป็นนิรนามของ C&C

คอมพิวเตอร์ที่ถูกบุกรุกแต่ละเครื่องในบอทเน็ตต้องการการควบคุมจากผู้สร้างมัลแวร์ และดังนั้นจึงต้องสื่อสารกับเซิร์ฟเวอร์ C&C ในบางวิธี อย่างไรก็ตาม สิ่งนี้มักจะหมายความว่านักวิจัยด้านความปลอดภัยสามารถถอดรหัสการบุกรุกบอทเน็ตแต่ละครั้งและเปิดเผย URL ของเซิร์ฟเวอร์ C&C ซึ่งมักจะถูกเขียนไว้ในโค้ด

เมื่อทราบ URL ของเซิร์ฟเวอร์ C&C ที่เป็นอันตรายแล้ว ก็สามารถปิดกั้นได้ที่ระดับเครือข่าย และสามารถสืบสวนแหล่งที่มาเพื่อการดำเนินการทางกฎหมาย

ในช่วงไม่กี่ปีที่ผ่านมา แนวโน้มของเซิร์ฟเวอร์ C&C ได้เปลี่ยนจากที่อยู่อินเทอร์เน็ตที่เฉพาะเจาะจงไปสู่การใช้บริการเว็บที่ได้รับความนิยม เช่น Gmail, Twitter, บริการคลิปบอร์ดออนไลน์ และเครือข่ายสังคมออนไลน์ (OSNs) ต่างๆ

ในปี 2015 มีการเปิดเผยว่ามัลแวร์แบ็คดอร์ Hammertoss ใช้ Twitter, GitHub และบริการจัดเก็บข้อมูลคลาวด์สำหรับวัตถุประสงค์เหล่านี้ ในปี 2018 มีการเปิดเผยว่าเครื่องมือการบริหารจัดการระยะไกล (RAT) HeroRat ใช้โพรโทคอล Telegram สำหรับวัตถุประสงค์เดียวกัน และในปี 2020 มีการเปิดเผยว่ามัลแวร์ ComRAT ของกลุ่ม Turla ได้ย้ายไปใช้ Gmail เป็นโครงสร้างพื้นฐานในการสื่อสาร

อย่างไรก็ตาม วิธีการเหล่านี้ยังคงต้องการข้อมูลระบุตัวตนบางอย่างที่ต้องถูกเขียนไว้ในซอฟต์แวร์ที่ติดไวรัส ทำให้สามารถค้นพบได้โดยการริเริ่มด้านความปลอดภัย แม้ว่าจะมีความยากบ้างก็ตาม ในกรณีเหล่านี้ ลักษณะที่อธิบายได้ของคำสั่งอันตรายและระบุตัวตนผู้ใช้สามารถช่วยให้สามารถปิดช่องทางเหล่านี้ได้ โดยทั่วไปจะทำให้บอทเน็ตที่พึ่งพาไม่สามารถทำงานได้

ตัวระบุอันลับ

วิธีการ DeepC2 ที่นักวิจัยชาวจีนเสนอ ทำให้การถอดรหัสข้อมูลระบุตัวตนของ C&C เป็นเรื่องที่ยากมาก เนื่องจากโค้ดจะแสดงเพียงอัลกอริทึมเครือข่ายประสาทเทียมที่ไม่โปร่งใสเท่านั้น

ภายใต้ DeepC2 บอทจะค้นหาบัญชี ‘botmaster’ โดยการค้นหาไอคอนผู้ใช้เฉพาะ (ในหัวข้อที่ได้รับความนิยม เพื่อให้บอทไม่ต้องค้นหา Twitter ทั้งหมด) ที่มีลักษณะระดับสูงซึ่งถูกเข้ารหัสไว้ในเครือข่ายประสาทเทียมของมัน ผู้เขียนมัลแวร์เลือกภาพไอคอนที่เหมาะสมก่อนการปล่อยมัลแวร์ และฝึกเครือข่ายประสาทเทียมด้วยภาพเหล่านั้น เเวกเตอร์ลักษณะและเครือข่ายประสาทเทียมเองถูกกระจายไปพร้อมกับพยาบาลมัลแวร์

เมื่อเซิร์ฟเวอร์ C&C ตีพิมพ์คำสั่งใหม่ ผู้ควบคุมเบื้องหลังเลือกหัวข้อที่ได้รับความนิยมบน Twitter (หรือเครือข่ายสังคมออนไลน์ที่ถูกใช้) และสร้างโพสต์โซเชียลมีเดียที่ดูเหมือนปกติซึ่งมีคำสั่งซ่อนอยู่ การที่โพสต์เหล่านี้มีความเกี่ยวข้องกับหัวข้อที่ได้รับความนิยมทำให้บอทสามารถเข้าถึงคำสั่งใหม่ได้ง่ายโดยการค้นหาเครือข่ายสังคม

Workflow of DeepC2.

เพื่อป้องกันการตรวจจับ ไอคอน Twitter และบัญชีที่เกี่ยวข้องจะถูกใช้เป็นกลไก C&C เพียงครั้งเดียวภายใต้ DeepC2 โดยระบบจะย้ายไปยังชื่อ C&C OSN ใหม่ที่เตรียมไว้ล่วงหน้าหลังจากเหตุการณ์นี้ นอกจากนี้ บอทจะลบข้อมูลเวกเตอร์ที่ช่วยให้พวกมันระบุไอคอน C&C หลังจากใช้ครั้งเดียว (ส่งคำสั่งครั้งเดียว) เพื่อขัดขวางการซ้ำโดยวิธีการรักษาความปลอดภัยทางนิติเวช

การทำให้คำสั่ง C&C ไม่ชัดเจน

เพื่อช่วยให้การทำให้ไม่ชัดเจนมากขึ้น DeepC2 รวมถึงวิธีการเพื่อป้องกันการตรวจจับคำสั่งโดยตรงในข้อความ Twitter โดยใช้ การชนกันของแฮช และการเพิ่มข้อมูลขั้นสูง (EDA) ซึ่งอ้างอิงจาก งาน ของ Protago Labs Research ในปี 2019 ร่วมกับ Dartmouth College และ Georgetown University

การชนกันของแฮชเกิดขึ้นเมื่อชิ้นส่วนข้อมูลสองชิ้นที่แตกต่างกันมีผลรวมตรวจสอบที่เหมือนกัน กล่าวคือ เมื่อชิ้นส่วนข้อมูลที่แตกต่างกันทุกประการมีลักษณะทางคณิตศาสตร์ที่เหมือนกัน – สถานการณ์ที่ไม่เกิดขึ้นบ่อยซึ่งสามารถถูกใช้เพื่อสร้างสัญลักษณ์คำสั่งจากข้อความที่ดูเหมือนเป็นเรื่องปกติ

บอทค้นหาชิ้นส่วนแฮชที่ถูกตั้งโปรแกรมไว้เหล่านี้ในผลลัพธ์ของบัญชีโซเชียลมีเดียที่พวกมันสามารถระบุได้ว่าเป็นเซิร์ฟเวอร์ C&C ตามไอคอนอาวาตาร์ที่รู้จัก เนื่องจากทวีตที่สร้างโดยผู้ควบคุม C&C จะมีความเกี่ยวข้องกับกระแสหัวข้อเป้าหมาย พวกมันจึงยากที่จะระบุว่าเป็นความผิดปกติ ซ่อนความตั้งใจของโพสต์

Though the augmented text data may not be grammatically correct, the grammatical inconsistency of posts on Twitter (and other social media networks) effectively hides these ‘glitches’ in comprehensibility.

ที่อยู่ IP ถูกส่งจากผู้ควบคุมบอทไปยังบอทโดยการแบ่ง URL ออกเป็นแฮชสองชิ้นที่มีการชนกัน ซึ่งถูกระบุและเชื่อมต่อเป็นที่อยู่ IP ที่สามารถเข้าใจได้โดยบอทระยะไกล

นักวิจัยใช้เซิร์ฟเวอร์เสมือนเจ็ดเครื่องเพื่อจำลองตำแหน่งที่หลากหลายทางภูมิศาสตร์ อาวาตาร์เป้าหมายถูกสร้างจากภาพถ่าย 40 ภาพที่ถ่ายด้วยโทรศัพท์มือถือ ซึ่งถูกแปลงเป็นเวกเตอร์ระหว่างการฝึกอบรม บอทถูกวางตำแหน่งพร้อมกับโมเดลที่ฝึกอบรมและข้อมูลเวกเตอร์

คำสั่งทั้งหมดใน实验ถูกส่งและแปลโดยเครือข่ายบอทเสมือนได้สำเร็จ แม้ว่าจะมีการส่งสัญญาณซ้ำบ้าง เนื่องจากระบบไม่สามารถแน่ใจได้ว่าแต่ละตัวอย่างของข้อความจะถูกส่งจากทวีตใดทวีตหนึ่ง

ในแง่ของมาตรการป้องกัน นักวิจัยชี้ว่าความถี่อัตโนมัติของวิธีที่บอท ‘ทาส’ จะค้นหา C&C บน Twitter และวิธีที่เซิร์ฟเวอร์ C&C จะวนซ้ำผ่านซีรีส์ของโพสต์ อาจเป็นตัวแทนของลายเซ็นที่สามารถจัดการได้ด้วยเฟรมเวิร์กป้องกันใหม่ๆ

นอกจากนี้ OSNs อาจคำนวณความแตกต่างทางภาพที่เฉพาะเจาะจงซึ่งถูกบันทึกไว้ในอาร์เรย์ของไอคอนอาวาตาร์ C&C และพัฒนาวิธีการเพื่อเตือนอันตรายตามเกณฑ์เหล่านั้น