O Command and Control Attack é um tipo de ataque cibernético no qual um hacker controla o PC de um indivíduo e o usa para injetar malware em outros computadores conectados à mesma rede, a fim de criar um exército de bots. O Ataque Cibernético de Comando e Controle é brevemente abreviado como C2 ou C&C . Para realizar um ataque C&C em um nível avançado, os hackers geralmente tentam ter controle sobre toda a rede através da qual os computadores de uma organização estão conectados uns aos outros para que todos os computadores em uma rede possam ser infectados para criar um exército de bots. Neste artigo, falaremos sobre o Comando e Controle de Ataques Cibernéticos e como você pode identificá-los e preveni-los .
Comando e controle de ataque cibernético
Antes de discutirmos mais sobre o ataque cibernético de comando e controle, existem alguns termos relacionados ao ataque C&C que você deve conhecer.
Zumbi
Um zumbi é um computador ou dispositivo que foi infectado pelo invasor com algum tipo de vírus ou malware. Depois de transformar um computador saudável em um zumbi, o invasor pode controlá-lo remotamente sem o conhecimento ou consentimento de seu proprietário. Em uma infraestrutura C2, o malware ou vírus que um hacker usa para infectar um computador específico abre um caminho para o hacker enviar instruções ao computador infectado. Este é um caminho bidirecional, o que significa que o invasor pode enviar instruções para o computador infectado e também baixar o conteúdo do computador infectado.
Os dispositivos infectados em uma infraestrutura C2 ou C&C são chamados de zumbis porque esses dispositivos são usados pelo invasor para infectar outros computadores saudáveis em uma rede específica. Após serem infectados, esses computadores funcionam da mesma forma que os zumbis mostrados nos filmes de ficção ou terror de Hollywood.
Botnet
Um botnet é um exército de computadores infectados. Em uma infraestrutura C2, quando um computador é infectado, a infecção é transferida para outro computador conectado à rede. O mesmo processo é repetido para infectar outros computadores na mesma rede para criar um exército de bots. Esse exército de bots (computadores infectados) é chamado de botnet. Um hacker pode usar uma botnet para diferentes ataques cibernéticos, como um ataque DDoS . Além disso, um hacker também pode vender botnets para outros cibercriminosos.
Sinalização
Beaconing é o processo pelo qual o malware no computador infectado se comunica com o servidor C&C para receber instruções do hacker e enviar dados do dispositivo infectado para o hacker.
Como funciona um ataque cibernético de Comando e Controle?
O objetivo do invasor é entrar no sistema de destino. Ele pode fazer isso instalando um vírus ou malware no sistema host. Depois de infectar o sistema do host com um vírus ou malware, ele pode ter controle total sobre ele. Há muitas maneiras pelas quais um hacker pode injetar malware no computador de um usuário. Um dos métodos populares é enviar um e-mail de phishing. Um e-mail de phishing contém um link malicioso. Esse link malicioso pode levar o usuário ao site malicioso ou instruí-lo a instalar um software específico.
O software contém código malicioso escrito pelo hacker. Ao instalar este software, o malware entra em seu computador. Esse malware começa a enviar dados do computador infectado para o invasor sem o consentimento do usuário. Esses dados podem conter informações confidenciais, como informações de cartão de crédito, senhas, etc.
Em uma infraestrutura de Comando e Controle, o malware no sistema do host envia um comando ao servidor host. As rotas de transmissão selecionadas para esta finalidade são geralmente confiáveis e não monitoradas de perto. Um exemplo dessa rota é o DNS. Uma vez que o malware consegue enviar o comando para o servidor host, o computador do host se transforma em um zumbi e fica sob o controle do invasor. O invasor então usa o computador infectado para transmitir a infecção a outros computadores para que um exército de bots ou botnet seja criado.
Além de roubar os dados do usuário, um hacker pode usar uma botnet para diversos fins, como:
- Atingindo os sites populares com ataques DDoS.
- Destruindo os dados do usuário ou da organização.
- Interromper as tarefas das organizações sequestrando suas máquinas.
- Distribuir o malware ou vírus para outras máquinas saudáveis em uma rede.
Servidores de Comando e Controle
Os servidores de Comando e Controle são as máquinas centralizadas capazes de enviar instruções ou comandos para as máquinas que fazem parte de uma botnet e receber a saída da mesma. Existem várias topologias usadas em Botnet Command and Control Servers. Algumas dessas topologias são explicadas abaixo:
- Topologia em estrela : Na topologia em estrela, há um servidor C&C central. Este servidor envia instruções ou comandos para os bots em uma botnet. Nesta topologia, é comparativamente mais fácil desabilitar o botnet porque existe apenas um servidor C&C que envia todos os comandos para os bots e recebe a saída do mesmo.
- Topologia multi-servidor : Esta topologia é semelhante à topologia Star que descrevemos acima. Mas o servidor central nesta topologia consiste em uma série de servidores interconectados. A topologia Multi-servidor é considerada mais estável que a topologia Star porque a falha de um único servidor não causa o desligamento de todo o servidor C&C. A construção de uma topologia de servidor C&C multi-servidor é mais complexa do que a topologia Star, pois requer a configuração de diferentes servidores, o que requer um planejamento adequado.
- Topologia aleatória : em uma topologia aleatória, alguns bots especializados são usados para enviar instruções ou comandos para outros bots em uma rede de botnet. Esses bots especializados são operados pelo proprietário ou por um usuário autorizado. Esses tipos de botnets têm latência muito alta e são difíceis de desmantelar. Em uma topologia Random, a comunicação bot-to-bot pode ser criptografada, tornando-a uma topologia C&C Server mais complexa.
Como identificar o ataque cibernético de Comando e Controle
Você pode identificar o Ataque Cibernético de Comando e Controle com a ajuda de arquivos de log.
- Arquivos de log do DNS : Conforme descrito acima, o DNS é o canal de comunicação mais usado no Comando e Controle de Ataques Cibernéticos. Portanto, os arquivos de log do DNS podem fornecer informações cruciais sobre os ataques C&C. Como dissemos, a maioria dos ataques C&C são feitos através dos servidores DNS. Mas se o ataque C&C não for feito por meio do servidor DNS, os arquivos de log do DNS não fornecerão nenhuma informação sobre o ataque.
- Arquivos de log de proxy : a maioria das organizações usa proxy de filtragem. O tráfego do usuário precisa passar por esse proxy por motivos de segurança. Os arquivos de log do proxy da web podem ser uma fonte crucial de informações sobre o Comando e Controle de Ataque Cibernético.
- Logs de firewall : os logs de firewall também podem ser uma boa fonte para uma investigação de ataque C&C.
Depois de coletar as informações de vários arquivos de log, você pode procurar as seguintes informações nos arquivos de log para confirmar se ocorreu um ataque C&C.
- O padrão de repetição de solicitações HTTP,
- Conexões com os servidores HTTP, especialmente fora do horário normal de expediente,
- Solicitar aos sites de redes sociais, especialmente fora do horário normal de expediente,
- Respostas DNS com um TTL baixo,
- Solicitações repetidas para os domínios de encurtador de URL,
- Tráfego de saída IRC ou P2P, etc.
Como prevenir os ataques cibernéticos de Comando e Controle
Agora, vamos falar sobre algumas maneiras pelas quais você pode impedir os ataques cibernéticos de Comando e Controle.
Dicas de segurança para organizações ou administradores
Primeiro, veja as formas pelas quais as organizações ou administradores de sistema podem impedir os ataques cibernéticos de Comando e Controle.
Conscientização entre os funcionários
A primeira coisa que as organizações devem fazer é fornecer treinamento de conscientização a todos os funcionários para que eles possam saber o que é um ataque de Comando e Controle e como ele pode ser feito. Isso minimizará a possibilidade de um sistema ser invadido por um invasor. Ao fornecer treinamento adequado aos seus funcionários, você pode reduzir o risco de um ataque de C&C.
Fique de olho na sua rede
Na maioria dos casos, os Ataques Cibernéticos de Comando e Controle são feitos em uma rede. Portanto, é necessário monitorar o fluxo de tráfego em sua rede. Ao monitorar sua rede, você deve estar atento a atividades suspeitas sendo feitas em sua rede, como:
- Acessando locais de rede incomuns,
- Logins de usuários fora do horário de expediente,
- Os arquivos estão sendo armazenados em locais estranhos, etc.
Configure a autenticação de dois fatores nas contas de todos os seus funcionários
A autenticação de dois fatores adiciona uma camada de segurança adicional. Portanto, é uma ótima maneira de proteger suas contas de usuário. No entanto, os invasores também podem ignorar a autenticação de dois fatores , mas não é tão fácil quanto parece.
Limitar as permissões do usuário
Limitar as permissões do usuário pode ser um bom passo para proteger seus sistemas contra os ataques cibernéticos de comando e controle. Atribua a seus funcionários apenas as permissões exigidas por eles para fazer seu trabalho e não mais do que isso.
Dicas de segurança para usuários
Vamos ver algumas dicas de segurança para os usuários evitarem os Ciberataques de Comando e Controle.
Não clique em links não confiáveis
Descrevemos anteriormente neste artigo que os invasores podem entrar no computador do host de várias maneiras. Uma dessas formas são os e-mails de phishing que contêm links maliciosos. Depois de clicar nesses links, você será redirecionado para um site malicioso ou o malware será baixado e instalado em seu sistema automaticamente. Portanto, para estar no lado mais seguro, nunca clique nos links de e-mails não confiáveis.
Não abra os anexos de e-mails não confiáveis
Não abra os anexos de e-mail a menos que você saiba quem é o remetente. Alguns clientes de e-mail, como o Gmail, têm um recurso de verificação de anexos de e-mail. Mas às vezes esse recurso não funciona em alguns anexos de e-mail específicos. Nesse caso, se você não souber o remetente do e-mail, será melhor não abrir esses e-mails.
Saia toda vez que terminar seu trabalho
Sair de todas as contas depois de terminar o trabalho em um computador é uma boa prática para evitar todos os tipos de ataques cibernéticos. Além disso, você pode configurar seu navegador, como Firefox , Chrome , Edge , etc., para limpar os cookies automaticamente ao sair.
Instale um firewall ou um bom antivírus
Sempre instale um bom antivírus em seu sistema. Alguns antivírus também oferecem um recurso de verificação de e-mail. Será melhor se você tiver um orçamento para comprar um pacote de segurança completo que ofereça vários recursos, como verificação de e-mail, alerta de violação de dados, proteção contra ransomware , proteção de webcam, etc. Você também pode instalar um bom firewall.
Crie senhas fortes
É sempre recomendável criar senhas fortes . As senhas diferenciam maiúsculas de minúsculas. Portanto, crie uma senha com uma combinação de caracteres especiais, letras minúsculas e maiúsculas e numerais. Você também pode usar geradores de senha gratuitos para gerar senhas fortes e exclusivas.
Mantenha seu sistema atualizado
Manter um sistema atualizado é recomendado porque a cada atualização, o desenvolvedor lança os patches de segurança mais recentes. Esses patches de segurança ajudam a proteger seu sistema contra ameaças cibernéticas.
Quais são alguns indicadores de um ataque cibernético?
A seguir estão alguns sintomas que seu sistema mostrará se estiver comprometido.
- Você não poderá acessar arquivos ou aplicativos usuais.
- Algumas das configurações do seu sistema estão bloqueadas.
- Sua conta foi bloqueada ou sua senha foi alterada sem seu conhecimento.
- Você verá pop-ups indesejados em seu navegador com mais frequência.
- Você experimentará velocidades de internet mais lentas sem congestionamento em sua rede de internet.
- Os programas instalados em seu sistema serão iniciados e fechados automaticamente.
Como você pode evitar ameaças cibernéticas?
Para evitar ameaças cibernéticas, você pode fazer algumas coisas necessárias, como sair de todas as suas contas toda vez que terminar seu trabalho, limpar os cookies do navegador da Web ao sair, instalar um bom antivírus e firewall, criar senhas fortes etc.