Caçando por Beaconing de Comando e Controle

Quando Usar

• Ao procurar proativamente por sistemas comprometidos na rede.
• Após inteligência de ameaças indicar frameworks de C2 visando sua indústria.
• Ao investigar conexões de saída periódicas para domínios suspeitos.
• Durante a resposta a incidentes para identificar canais de C2 ativos.
• Quando logs de consulta DNS mostram padrões incomuns para domínios específicos.

Pré-requisitos

• Logs de proxy/firewall de rede com URL completa e dados de tempo.
• Logs de consulta DNS (DNS passivo, logs do servidor DNS ou Sysmon Event ID 22).
• Logs de conexão de rede Zeek/Bro ou dados NetFlow.
• SIEM com capacidades de análise estatística (Splunk, Elastic).
• Feeds de inteligência de ameaças para reputação de domínio/IP.

Fluxo de Trabalho

1. Identificar Características de Beaconing: Definir o que constitui beaconing (intervalos regulares, tamanhos de payload pequenos, destinos consistentes, padrões de jitter).
2. Coletar Telemetria de Rede: Agregar logs de proxy, consultas DNS e metadados de conexão para análise.
3. Aplicar Análise de Frequência: Identificar conexões com intervalos regulares usando métodos estatísticos (desvio padrão, coeficiente de variação).
4. Filtrar Tráfego Conhecido e Legítimo: Excluir tráfego periódico legítimo (Windows Update, atualizações de AV, serviços de heartbeat, NTP).
5. Analisar Reputação de Domínio/IP: Verificar destinos de beaconing identificados contra inteligência de ameaças, dados WHOIS e logs de transparência de certificado.
6. Investigar Contexto do Endpoint: Correlacionar atividade de beaconing com criação de processos, contexto do usuário e alterações no sistema de arquivos nos endpoints de origem.
7. Confirmar e Responder: Validar atividade de C2, bloquear comunicação e iniciar resposta a incidentes.

Conceitos Chave

Ferramentas e Sistemas

Cenários Comuns

1. Cobalt Strike Beacon: Beaconing HTTP/HTTPS com tempo de espera configurável e jitter para perfis de C2 maleáveis.
2. C2 de Tunelamento DNS: Exfiltração de dados e recebimento de comandos via consultas DNS TXT/CNAME codificadas para domínios controlados pelo atacante.
3. Sliver C2 sobre HTTPS: Framework de C2 moderno usando HTTPS com intervalos de beacon configuráveis e domain fronting.
4. C2 baseado em DGA: Malware gerando domínios aleatórios diariamente, com o adversário registrando domínios futuros para C2.
5. Abuso de Serviço Legítimo: C2 sobre serviços de nuvem legítimos (Azure, AWS, Slack, Discord, Telegram).

Formato de Saída

Hunt ID: TH-C2-[DATE]-[SEQ]
Source IP: [Internal IP]
Source Host: [Hostname]
Destination: [Domain/IP]
Protocol: [HTTP/HTTPS/DNS/Custom]
Beacon Interval: [Average seconds]
Jitter: [Percentage]
Connection Count: [Total connections]
Data Volume: [Bytes sent/received]
First Seen: [Timestamp]
Last Seen: [Timestamp]
Domain Age: [Days]
TI Match: [Yes/No - source]
Risk Level: [Critical/High/Medium/Low]