Atacurile de tip comandă și control (C2) pot prelua rapid rețele întregi și pot oferi hackerilor acces la o armată de boți.
Iată cum se întâmplă și ce poți face pentru a te proteja.
Atacurile C2 permit hackerilor să preia controlul întregilor rețele sau să transforme calculatoarele personale în boți pentru propriile interese.
Ai auzit recent despre ele când SUA a dezactivat botnetul „Cyclops Blink” prin accesarea unor dispozitive infectate și eliminarea malware-ului, dar iată ce ar trebui să știi despre aceste atacuri.
Atacurile cibernetice de comandă și control se produc atunci când persoane rău intenționate pătrund într-un sistem și instalează malware care le permite să trimită comenzi de la distanță, de pe un server C2, către dispozitivele infectate.
Primul dispozitiv infectat transmite adesea automat infecția către orice alte echipamente cu care comunică, astfel încât, în cazul unei rețele profesionale, întregul sistem poate ajunge rapid sub controlul atacatorului.
Există nenumărate metode prin care atacatorii pot infecta un dispozitiv și la fel de multe tipuri de atacuri pe care le pot lansa odată infiltrați în sistem.
Potrivit firmei de securitate cibernetică Palo Alto Networks, peste 80% din malware folosește sistemul de nume de domeniu (DNS) pentru a identifica serverele C2, pentru a fura date și a răspândi programe malițioase.
Mai întâi, atacatorul trebuie să introducă malware în sistemul țintă.
Asta se poate face prin metode de inginerie socială, cum ar fi emailuri de tip phishing, reclame false care duc la site-uri malițioase sau plugin-uri și aplicații de browser dubioase.
Adesea se mizează pe evenimente de actualitate sau pe elemente din cultura pop pentru a atrage atenția, de la COVID-19 până la jocuri video.
În unele cazuri, atacatorii pătrund fizic în sistem, de exemplu cu un stick USB încărcat cu malware.
Când cineva descarcă malware fără să știe, făcând clic pe un link sau instalând o actualizare aparent legitimă, acesta trimite o comandă prestabilită înapoi către serverul-gazdă prin canale de comunicare de încredere și puțin monitorizate.
DNS-ul este unul dintre aceste canale.
După trimiterea comenzii, dispozitivul infectat devine un „bot”, un fel de zombie digital controlat de atacator.
Apoi răspândește malware mai departe, transformând alte dispozitive în boți, extinzând astfel aria de acțiune și creând o rețea de boți, sau botnet.
Multe atacuri C2 sunt proiectate să rămână nedetectate cât mai mult timp, mai ales când se fură date.
Potrivit Palo Alto Networks, alte utilizări comune ale C2 includ:
Preluarea calculatoarelor-gazdă pentru minerit de criptomonede
Distrugerea datelor
Oprirea mașinilor, inclusiv a rețelelor întregi
Repornirea de la distanță a dispozitivelor infectate pentru a perturba operațiunile
Atacuri de tip distribuire a refuzului de serviciu (DDoS) asupra rețelelor infectate
C2 poate fi folosit și pentru a cripta date și a ține sisteme ostatic în atacuri de tip ransomware.
Este ușor de imaginat cât de catastrofal ar fi dacă un atacator ar prelua controlul asupra unui sistem critic, de exemplu rețeaua unui spital sau o stație de tratare a apei, și l-ar opri.
Pe măsură ce tot mai multe dispozitive și utilități publice intră în cadrul Internetului lucrurilor (IoT), apărarea împotriva atacurilor C2 devine esențială.
La începuturile internetului, atacatorii foloseau un server fizic aflat sub control propriu și lansau atacul de acolo.
Astăzi, multe atacuri C2 sunt dirijate de pe servere din cloud.
Uneori, atacatorul folosește un singur server către care malware-ul trimite mesaje pentru instrucțiuni.
Aceasta se poate bloca ușor, deoarece adresa IP a serverului C2 poate fi detectată și blocată pentru a preveni comunicarea ulterioară.
Dacă atacatorul folosește proxy-uri pentru a-și masca adresa IP reală, însă, apărarea devine mai dificilă.
Mai frecvent, infractorii folosesc mai multe servere pentru a conduce atacul.
Pot fi mai multe servere care rulează același atac pentru redundanță, în cazul în care unul este dezactivat, sau grupuri de servere aranjate ierarhic.
Atacatorii pot instrui, de asemenea, calculatoarele din botnet să funcționeze într-o rețea peer-to-peer (P2P), comunicând aleatoriu între ele în loc de un server central.
Aceasta face mai dificilă detectarea originii infecției.
Conform producătorului de software de securitate DNSFilter, această abordare este adesea folosită împreună cu atacurile de pe server unic – dacă serverul principal cade, opțiunea P2P rămâne activă ca rezervă.
Deși ideea că cineva îți poate prelua sistemul este înfricoșătoare, există câteva măsuri pentru a te apăra.
În primul rând, educația. Instruiește orice persoană cu acces la rețeaua ta asupra tacticilor de inginerie socială pe care le folosesc atacatorii cibernetici.
Când oamenii recunosc semnele, sunt mult mai puțin predispuși să fie păcăliți.
Arată-le cum arată un email de tip phishing, cum să verifice un fișier înainte de descărcare și altele.
Apoi, folosește un firewall.
Deși nu va opri atacatorii care au ajuns deja în sistem, va împiedica pe cei care nu pot trece de bariera inițială.
Firewal-urile limitează ce date pot intra și ieși din rețea și pot fi configurate să alerteze asupra URL-urilor și adreselor IP suspecte.
Blogul de securitate cibernetică Tripwire recomandă, de asemenea, segmentarea rețelei ca măsură de protecție.
Împărțirea rețelei în subrețele mai mici, care comunică doar între ele, împiedică răspândirea malware-ului care a trecut de celelalte apărări.
Ei dau exemplul sistemelor point-of-sale (POS) din magazinele cu amănuntul, care pot comunica doar cu un număr foarte limitat de dispozitive din rețea.
Astfel, chiar dacă apare un malware care extrage date de pe carduri de credit, acesta nu poate transmite informațiile furate departe.
Aceste principii sunt valabile nu doar pentru atacurile C2, ci pentru aproape orice amenințare cibernetică.
Educația și o apărare solidă nu sunt infailibile, dar contribuie semnificativ la prevenirea atacurilor și a scurgerilor de date.
