Construindo Infraestrutura de Redirecionador C2

Uso Autorizado Apenas: Esta habilidade é apenas para engajamentos de red-team autorizados, exercícios de emulação de adversários e pesquisa defensiva. Infraestrutura de comando e controle é de uso duplo; implantar redirecionadores para controlar malware em sistemas que você não está explicitamente autorizado a testar é ilegal. Opere apenas dentro de um escopo acordado com um documento de regras de engajamento assinado e desative a infraestrutura quando o engajamento terminar.

Visão Geral

Um redirecionador C2 é um host intermediário que fica entre os implantes da vítima e o servidor real da equipe. Beacons se conectam ao domínio/IP público do redirecionador; o redirecionador inspeciona cada solicitação e ou encaminha o tráfego C2 legítimo de volta para o servidor oculto da equipe ou desvia todo o resto (scanners, analistas de blue-team, sandboxes) para um site de isca benigno. Isso protege o servidor da equipe contra descoberta, desativação e atribuição, e permite que os operadores rotacionem a borda pública sem reconstruir o backend. A técnica mapeia para o MITRE ATT&CK T1090.002 (Proxy: External Proxy) — adversários roteiam C2 através de um nó intermediário para obscurecer a origem real.

Redirecionadores vêm em dois sabores. Dumb pipes (socat, iptables NAT) encaminham cegamente uma porta e fornecem separação, mas sem filtragem. Redirecionadores inteligentes/de filtragem (nginx proxy_pass, Apache mod_rewrite com [P], ou ferramentas construídas para fins específicos como RedWarden) analisam requisições HTTP e apenas encaminham tráfego que corresponde ao perfil Malleable C2 do implante — URI correto, User-Agent, cabeçalhos — enquanto enviam todo o resto para um 302 para um site real. A lógica de filtragem é derivada diretamente do perfil de tráfego do framework C2, então os dois devem permanecer em sincronia. Ferramentas como cs2modrewrite automatizam a geração de regras Apache/nginx a partir de um perfil Malleable C2 do Cobalt Strike.

Esta habilidade cobre a construção de redirecionadores dumb e de filtragem com nginx e Apache, a derivação de regras de filtro de um perfil maleável, a camada de TLS com Let's Encrypt e a aplicação de controles OPSEC (domínios categorizados, fronting de domínio/fronting de CDN, validação de cabeçalho, filtragem geo/UA) para infraestrutura resiliente e de baixa atribuição.

Quando Usar

• Configurar C2 de red-team que deve sobreviver à triagem de blue-team e solicitações de desativação de domínio.
• Separar um servidor de equipe oculto de qualquer host voltado para a internet durante um engajamento.
• Filtrar o tráfego do implante para que apenas requisições que correspondam ao perfil cheguem ao backend, desviando scanners.
• Adicionar terminação TLS, categorização de domínio e fronting de CDN/domínio a um listener HTTP(S).
• Ensinar defensores como o C2 de proxy externo (T1090.002) é construído para que eles possam detectá-lo.

Pré-requisitos

• Uma ou mais instâncias VPS em nuvem descartáveis (a borda do redirecionador) e um host de servidor de equipe separado e com firewall.
• Um domínio registrado com DNS controlável, idealmente com idade/categorizado.
• Acesso root no host do redirecionador. Instale o servidor web e as ferramentas TLS:

  # Debian/Ubuntu redirector
  sudo apt update
  sudo apt install -y nginx apache2 socat certbot python3-certbot-nginx git
  # Enable Apache proxy modules if using mod_rewrite redirector
  sudo a2enmod rewrite proxy proxy_http ssl headers
  

• O perfil Malleable C2 do framework C2 (Cobalt Strike .profile, perfil HTTP Sliver/Havoc) definindo URIs, User-Agent e cabeçalhos.
• cs2modrewrite para gerar automaticamente regras a partir de um perfil Cobalt Strike:

  git clone https://github.com/threatexpress/cs2modrewrite
  

• Configure o firewall do servidor de equipe para que ele aceite apenas o IP de origem do redirecionador na porta C2.

Objetivos

• Implantar um redirecionador dumb-pipe (socat/iptables) para separação rápida de portas.
• Implantar um redirecionador nginx reverse-proxy de filtragem com chave em um perfil maleável.
• Implantar um redirecionador Apache mod_rewrite com proxy [P] e fallback de isca 302.
• Gerar automaticamente regras de redirecionador a partir de um perfil Cobalt Strike com cs2modrewrite.
• Terminar TLS com Let's Encrypt e endurecer a borda pública.
• Aplicar OPSEC: validação de cabeçalho/UA, filtragem geo, desvio de isca e rotação de infraestrutura.

Mapeamento MITRE ATT&CK

…