Articol publicat în mai 2021. Interogările de mai jos sunt păstrate ca arhivă; platforma folosită și-a schimbat între timp adresele.
În mai 2021, ProDefence a centralizat adresele IP din România asociate cu servere de comandă și control ale unor instrumente de exploatare (Cobalt Strike, Mythic, PoshC2, Metasploit, Covenant și altele), identificate prin amprente TLS de tip JARM. Datele erau publice, dar împrăștiate; scopul a fost ca specialiștii să își poată verifica rapid propria infrastructură și pe cea a clienților.
Pe scurt
- Instrumentele de tip „command and control” sunt folosite în teste de penetrare, dar și de atacatori, inclusiv înaintea atacurilor ransomware.
- Amprenta JARM a serverului TLS permite identificarea acestor servere în rezultatele motoarelor de căutare pentru dispozitive conectate.
- Unele adrese apăreau în mai multe liste, semn că fuseseră folosite sau testate din mai multe direcții.
- Avertizarea completă a fost transmisă întâi către CERT-RO, apoi publicată pentru comunitate.
De ce contează
Articolul continuă ideea din Colaborare, buget, implicare: ransomware și Cobalt Strike. Adresele listate aparțin unor servere sau dispozitive care au intrat în legătură cu agenți de exploatare, de regulă pentru că aveau vulnerabilități exploatabile. Uneori serverele sunt deja compromise, dar atacatorii nu au început încă exploatarea; descoperirea la timp poate preveni un incident major.
Interogările folosite (arhivă)
- Cobalt 1
- Cobalt 2
- Cobalt 3
- Cobalt 4
- Cobalt 5
- Mythic 1
- Mythic 2
- Metasploit ssl listener
- Metasploit ssl listener
- Merlin
- MacC2
- MacC2
- Shad0w
- GRAT2 C2
- Covenant
- SILENTRINITY
- PoshC2
Sursa amprentelor: C2-JARM pe GitHub.
Ce rămâne valabil azi
- monitorizarea propriilor adrese IP în bazele de date publice de amenințări este o măsură ieftină și eficientă;
- un server care apare asociat cu un instrument de comandă și control trebuie investigat imediat, nu doar actualizat;
- entitățile NIS2 au obligația de a gestiona vulnerabilitățile și de a notifica incidentele.
Pentru verificarea infrastructurii, ProDefence oferă audit de securitate web și de rețea și analiza fișierelor suspecte.