2
Varonis Threat Labs разработала NotC2 — экспериментальную платформу, которая применяет 4 стандартных сервиса Amazon Web Services и Amazon Bedrock для передачи команд заражённым устройствам и получения ответов, избегая создания традиционного сервера управления
Эксперты исследовательского подразделения Varonis Systems, ориентированного на кибербезопасность, Varonis Threat Labs создали NotC2 — демонстрационную систему скрытого управления (Command and Control, C2), которая полностью функционирует на стандартных сервисах AWS. Вместо отдельного сервера и специализированного сетевого протокола она использует Amazon SQS, AWS Lambda, Amazon SNS и Amazon Bedrock. Последний выступает в роли ИИ-интерпретатора: злоумышленнику достаточно сформулировать запрос обыкновенным языком, например «покажи все запущенные экземпляры EC2 и их IP-адреса», чтобы система самостоятельно сгенерировала соответствующий вызов API облачной платформы.
Каждый сервис в этой цепочке выполняет уникальную задачу. SQS принимает команды от внешнего сервера злоумышленника через очередь сообщений. Lambda активирует функцию при получении новой команды и выполняет её с правами назначенной облачной роли. Bedrock преобразует текстовый запрос в операцию AWS, а SNS передаёт результат на внешний HTTPS-адрес, подписанный на уведомления. При этом сама функция Lambda не устанавливает прямое соединение с сервером злоумышленника. Она только публикует результат в SNS, который отправляет его получателю. Выполнение каждой функции Lambda ограничено 15 минутами, и постоянный процесс управления на заражённом устройстве не требуется.
NotC2 развивает уже известные методы злоупотребления облачной инфраструктурой. Ранее специалисты демонстрировали передачу команд через аннотации трассировок AWS X-Ray и использование объектов Amazon S3 для обмена заданиями и результатами с маяками Cobalt Strike. Однако эти методы задействовали отдельные сервисы. В NotC2 объединён весь управленческий цикл, включая интерпретацию команд с помощью ИИ. Модель способна не только формировать запросы, но и обрабатывать ошибки API: если операция завершается неудачно, система возвращает ответ обратно модели, которая может исправить запрос или предложить следующий шаг. Это позволяет вести разведку облачной инфраструктуры в формате диалога, например, спрашивая, к каким ресурсам у атакующего есть доступ.
Varonis продемонстрировала получение списков виртуальных машин EC2, таблиц DynamoDB, баз данных и функций Lambda. При наличии соответствующих разрешений аналогичным образом можно удалять объекты S3 и экземпляры EC2. При этом NotC2 не взламывает Amazon Bedrock и не обходит систему разграничения доступа AWS: для функционирования ей требуются украденные учётные данные с достаточными полномочиями. Развёртывание также требует разрешений на создание очередей SQS, функций Lambda и их связи, а также передачи Lambda существующей роли IAM (системы управления правами доступа AWS). Если подходящей роли нет, потребуются дополнительные полномочия для её создания.
Основная сложность для защитников заключается в отсутствии привычных сетевых признаков атаки. Вредоносный трафик проходит через легитимные сервисы AWS, поэтому блокировка подозрительных IP-адресов, доменов и нестандартных протоколов оказывается малоэффективной. Поиск NotC2 приходится проводить в журналах CloudTrail, Lambda, SNS и Amazon Bedrock: среди тревожных признаков Varonis выделяет создание подписки SNS на внешний HTTP- или HTTPS-адрес от имени роли Lambda, неожиданное увеличение числа обращений к моделям Bedrock и последовательность операций SQS, Lambda, Bedrock и SNS. Компания рекомендует ограничивать права облачных ролей, разрешать подписки SNS только на одобренные адреса и отслеживать необычные связи между сервисами. Таким образом, защита должна учитывать не только сетевой периметр, но и то, какие облачные ресурсы могут взаимодействовать между собой и от чьего имени.
Источник