Estoy seguro de que en algún momento escuchaste o leíste el término C2 o bien C&C que significa Command and Control, en esta entrada estaremos comprendiendo como funcionan, en que lenguajes de programación son desarrollados.

Command and Control

¿Qué es un Command and Control?

Es un sistema utilizado para controlar clientes que también son denominados como implants, agents (implantes, agentes), este recibe y centraliza toda la información que es enviada al mismo.

¿Dónde consigo uno?

Existen tanto de paga como gratuitos, el acceso a estos puede tenerlo cualquier usuario.

NO existe una complejidad elevada para levantar o iniciar un C2, es bastante sencillo, lo complejo o que puede llevar una curva de aprendizaje elevada es conocer y saber como trabajan, tener conocimiento sobre bypass de controles de seguridad como ser el ANTIVIRUS, AMSI, EDR como también el Firewall.

Vale aclarar que muchos de estos C2 son detectados por la mayoría de los antivirus.

¿Que lenguajes de programación son realizados?

A continuación listaré algunos lenguajes de programación que son utilizados para la creación de un C2

• .Net
• Python
• Go
• Java
• PHP

¿Por quién son utilizados?

Estos son usados para realizar ataques dirigidos a alguna institución, infectando algún equipo de un usuario interno y a partir de este realizar movimiento lateral y comprometer toda una infraestructura.

• Organizaciones Cibercriminales.
• Ejercicios de Red Team.

Arquitectura de un C2

Podríamos mencionar que esta es una arquitectura regular de un C2 o lo que debería de contar una respectivamente.

• C2 Server: Es el encargado del control y comunicación y ejecución por diferentes protocolos con los agentes.
• SMTP Server: El servidor SMTP es utilizado para él envía de correos electrónicos (Phishing), cuyo objetivo es, que algún usuario caiga con una infección generada por el servidor.
• Payload Server: Como su nombre lo indica, es el encargado de brindar los ficheros maliciosos, sean directamente binarios, es decir .exe o ficheros de ofimática, estos infectados luego se denominan agentes.
• Redirectors: Son los que reciben la comunicación entre los agentes, redirigiendo el tráfico al Servidor y estos llegan a ser desechables, es decir, pueden ser retirados si son reportados o detectados, estos son los que dan la cara al usuario y posteriormente iniciados nuevamente, en otro servidor.

Muchas veces manejan tanto el Servidor, Payload Delivery inmerso en el mismo servidor, lo cual conlleva a una detección o dar de baja al momento cuando estos son detectados.

Material adicional

Puedes ver un mayor detalle de como es una infraestructura en Red Team Infraestructure Wiki

Si deseas conocer y visualizar un listado de Command and Controls con sus respectivas caracteristicas, contamos con C2Matrix.

Estaré hablando en el Live de hoy por el canal de Twitch de esto y veremos un par de C2, ¿te unes?

Regards,
Snifer