komponent C2 (Command and Control)

Komponent C2 (Command and Control) to element złośliwego oprogramowania utrzymujący łączność z serwerem atakującego.

Jak działa komponent C2 w złośliwym oprogramowaniu

Komponent C2, czyli Command and Control, jest częścią złośliwego oprogramowania odpowiedzialną za komunikację z infrastrukturą kontrolowaną przez atakującego. Po uruchomieniu na komputerze może nawiązać połączenie z adresem IP, nazwą domenową albo innym punktem pośredniczącym wskazanym w kodzie programu lub pobranym podczas działania. Kanał C2 pozwala przesyłać polecenia do zainfekowanego systemu oraz odbierać informacje zwrotne dotyczące wykonania tych poleceń.

Sam komponent C2 nie musi być osobnym plikiem. Może stanowić fragment trojana, programu szpiegującego, ransomware albo innego typu malware. W zależności od konstrukcji komunikacja może odbywać się przez protokoły używane także przez zwykłe aplikacje, na przykład HTTP, HTTPS, DNS lub połączenia TCP. Wykorzystanie popularnego protokołu nie oznacza jednak, że połączenie jest prawidłowe. O znaczeniu zdarzenia decydują między innymi adres docelowy, częstotliwość komunikacji, format danych i zachowanie procesu, który inicjuje połączenie.

Różnica między kanałem C2 a zwykłym połączeniem sieciowym

Program korzystający z C2 często komunikuje się okresowo, wysyłając krótkie żądania sprawdzające, czy serwer atakującego jest dostępny. Taki mechanizm bywa nazywany beaconingiem. Oprogramowanie może odczekiwać zmienny czas pomiędzy kolejnymi połączeniami, aby utrudnić wykrycie prostym regułom opartym na stałym interwale. W żądaniach mogą znajdować się identyfikator infekcji, informacje o systemie operacyjnym, lista procesów, konfiguracja urządzenia lub wynik wcześniejszego polecenia.

Serwer C2 może odpowiadać instrukcjami dotyczącymi pobrania kolejnego pliku, uruchomienia procesu, zmiany konfiguracji, wysłania określonych danych albo przejścia w stan uśpienia. Nie każdy kanał C2 jest dwukierunkowy w identyczny sposób. W jednej odmianie malware komputer regularnie odpytuje serwer, a w innej serwer próbuje inicjować kontakt z urządzeniem. Spotyka się również rozwiązania, w których zainfekowane komputery otrzymują informacje za pośrednictwem DNS, publicznych usług internetowych, serwisów przechowywania treści lub innych elementów infrastruktury pośredniej.

Ślady komunikacji C2 w systemie i sieci

Ocena podejrzanego komponentu C2 wymaga połączenia kilku rodzajów obserwacji. W systemie można sprawdzić, jaki proces otwiera połączenie, z jakiej lokalizacji został uruchomiony, kiedy powstał plik oraz czy program jest obecny w mechanizmach automatycznego startu. Istotne są także nietypowe zadania harmonogramu, usługi, skrypty uruchamiane przy logowaniu i procesy działające bez widocznego interfejsu. Sama nazwa pliku nie przesądza o złośliwości, ponieważ malware może używać nazw przypominających elementy systemu.

Po stronie sieciowej analizuje się między innymi zapytania DNS, docelowe adresy, certyfikaty HTTPS, nagłówki żądań, częstotliwość połączeń i ilość przesyłanych danych. Powtarzające się połączenia do domeny o krótkim czasie istnienia, adresu niepowiązanego z używanym programem albo serwera zmieniającego lokalizację mogą być sygnałem ostrzegawczym, lecz nie stanowią samodzielnego dowodu. Wiarygodna analiza powinna uwzględniać kontekst: aktualizacje, synchronizację, komunikatory, przeglądarki i legalne narzędzia ochronne również korzystają z komunikacji sieciowej. Szczególnie ważne jest rozróżnienie procesu, który wykonuje połączenie, od samej domeny lub adresu.

Postępowanie przy podejrzeniu aktywnego kanału C2

Jeżeli komputer wykazuje objawy możliwej infekcji, pierwszym krokiem powinno być ograniczenie dalszej komunikacji urządzenia z siecią, o ile można to zrobić bez utraty potrzebnych dowodów i bez przerywania krytycznej pracy. Nie należy pochopnie usuwać podejrzanych plików, czyścić wszystkich logów ani uruchamiać nieznanych narzędzi pobranych z przypadkowych stron. Takie działania mogą zniszczyć informacje potrzebne do ustalenia, jaki proces nawiązywał połączenie i jakie czynności zostały wykonane.

W dalszej kolejności można przeprowadzić skanowanie zaufanym oprogramowaniem bezpieczeństwa, zweryfikować autostart, przeanalizować aktywne procesy oraz sprawdzić historię połączeń. Jeżeli złośliwy program uzyskał dostęp do kont, po oczyszczeniu urządzenia należy zmienić hasła z użyciem innego, zaufanego komputera i włączyć uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne. Przy diagnostyce trzeba odróżnić usunięcie pliku od usunięcia całego mechanizmu persystencji, ponieważ komponent C2 może być odtwarzany przez drugi element infekcji. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów związanych z działaniem oprogramowania na sprzęcie użytkowym.