Command-and-control-infrastructuur: hoe hackers besmette apparaten op afstand aansturen
Stel je een leger voor waarin duizenden soldaten verspreid over de wereld wachten op bevelen van hun aanvoerder. Ze doen niets uit zichzelf, maar zodra er via een geheime lijn een order binnenkomt, voeren ze die uit. Command-and-control-infrastructuur, vaak afgekort tot C2 of C&C, is precies dat: het geheel van servers, kanalen en technieken waarmee een aanvaller op afstand instructies stuurt naar computers, telefoons of andere apparaten die hij eerder heeft besmet met kwaadaardige software (malware, software die is ontworpen om schade aan te richten of ongeautoriseerd toegang te geven).
Een bekend voorbeeld: bij het Mirai-botnet uit 2016 (een botnet is een netwerk van besmette apparaten die als één geheel worden aangestuurd) namen criminelen de controle over honderdduizenden slecht beveiligde slimme camera's en routers. Al die apparaten bleven gewoon normaal functioneren voor hun eigenaars, maar stonden tegelijk in verbinding met een C2-server die ze op commando liet meedoen aan grootschalige aanvallen. Zonder die command-and-control-laag is besmette software eigenlijk machteloos: het is de telefoonlijn tussen de aanvoerder en zijn soldaten die van losse infecties een gecoördineerd wapen maakt.
Wat is het precies?
Het proces begint met een infectie. Een slachtoffer opent bijvoorbeeld een besmette bijlage, klikt op een kwaadaardige link, of een kwetsbaar apparaat wordt automatisch overgenomen via een softwarefout. Eenmaal actief, meldt de malware zich bij de aanvaller: dit heet beaconing, het periodiek "aankloppen" bij de C2-server om te vragen of er nieuwe instructies zijn. Dat gebeurt vaak elke paar minuten of uren, zodat het niet meteen opvalt als ongewoon dataverkeer.
Voor die communicatie gebruiken aanvallers kanalen die op normaal internetverkeer lijken. Populair zijn gewoon webverkeer (HTTP/HTTPS, hetzelfde protocol waarmee je browser websites laadt) en DNS (het systeem dat domeinnamen zoals detoekomstisnu.nl omzet naar internetadressen). Steeds vaker misbruiken criminelen ook legitieme, alom vertrouwde platforms zoals Slack, Discord, GitHub of clouddiensten van grote techbedrijven: verkeer naar zulke bekende diensten wordt door beveiligingssystemen minder snel als verdacht bestempeld.
Om ontdekking en uitschakeling te bemoeilijken, zetten aanvallers verschillende ontwijkingstechnieken in. Bij fast flux wisselt het internetadres achter een domeinnaam razendsnel, waardoor het lastig is één server offline te halen. Bij een domain generation algorithm (DGA) genereert de malware dagelijks duizenden mogelijke domeinnamen volgens een wiskundig patroon dat alleen de aanvaller kent; slechts één daarvan is echt actief, wat het voor onderzoekers moeilijk maakt om vooraf te weten welke domeinen geblokkeerd moeten worden. Ook domain fronting komt voor: daarbij verstopt de aanvaller zijn werkelijke bestemming achter het adres van een groot, vertrouwd cloudplatform. Tot slot wordt verkeer vrijwel altijd versleuteld, zodat de inhoud van de communicatie niet zomaar valt af te lezen, zelfs als het verkeer zelf wordt opgemerkt.
Wat wil men ermee bereiken?
Voor cybercriminelen en statelijke actoren is C2-infrastructuur het middel om controle te behouden nadat een systeem eenmaal is binnengedrongen. Daarmee kunnen ze gestolen bedrijfsgegevens naar buiten sluizen (data-exfiltratie), gijzelsoftware (ransomware) op het juiste moment activeren, duizenden apparaten tegelijk laten meedraaien in een overbelastingsaanval (DDoS, waarbij een dienst wordt platgelegd door een vloedgolf aan verkeer), of maandenlang ongemerkt spioneren binnen een netwerk.
Opvallend genoeg bestuderen en gebruiken verdedigers dezelfde technieken, maar dan met toestemming en voor een tegenovergesteld doel. Zogeheten red teams (teams die in opdracht van een organisatie een aanval nabootsen om zwakke plekken te vinden) zetten C2-frameworks in tijdens gecontroleerde penetratietests. Beveiligingsonderzoekers analyseren C2-verkeer van echte malware om detectieregels te schrijven, zodat antivirus- en netwerkbeveiligingssystemen dit soort verkeer in de toekomst herkennen. Zonder grondige kennis van hoe C2 werkt, valt het namelijk nauwelijks te herkennen of te stoppen.
Voorbeelden uit de praktijk
Het eerder genoemde Mirai-botnet (2016) infecteerde massaal onbeveiligde IoT-apparaten (internet-of-things, zoals slimme camera's en routers) en gebruikte een centrale C2-structuur om er grootschalige DDoS-aanvallen mee uit te voeren, onder meer tegen de Franse hostingprovider OVH en de DNS-dienst Dyn.
Emotet ontwikkelde zich vanaf ongeveer 2014 van bankmalware tot een uitgebreid "malware-as-a-service"-botnet: criminelen verhuurden toegang tot besmette computers aan andere criminele groepen, die er vervolgens ransomware mee verspreidden. In januari 2021 werd de infrastructuur van Emotet ontmanteld in een internationale politieoperatie waarbij onder meer Nederlandse, Duitse en Amerikaanse opsporingsdiensten samenwerkten.
Cobalt Strike is een oorspronkelijk legitiem hulpmiddel voor red teams om aanvallen te simuleren, inclusief een ingebouwd C2-framework. Juist doordat het zo krachtig en flexibel is, wordt het al jarenlang op grote schaal misbruikt door criminele groepen, die illegaal verkregen of gekraakte versies inzetten als kant-en-klare C2-infrastructuur.
Bij de SolarWinds/Sunburst-aanval, die eind 2020 aan het licht kwam, gebruikten de aanvallers naar verluidt zeer geraffineerde, moeilijk te detecteren C2-communicatie (onder andere via DNS-verkeer) om maandenlang onopgemerkt te blijven bij tientallen Amerikaanse overheidsinstanties en bedrijven.
Het Trickbot-botnet, actief vanaf ongeveer 2016, werd in 2020 doelwit van een gezamenlijke actie van onder meer Microsoft en verschillende beveiligingsbedrijven, die de C2-infrastructuur probeerden te ontwrichten vlak voor de Amerikaanse presidentsverkiezingen, uit vrees voor misbruik bij verkiezingsgerelateerde systemen.
Hoe ver is de techniek?
Command-and-control is geen nieuwe of experimentele techniek; het bestaat al zolang er malware bestaat die op afstand bestuurd moet worden, en het is inmiddels sterk volwassen. Wat wél voortdurend verandert, is de wedloop tussen aanvallers en verdedigers. Zodra beveiligingsbedrijven een bepaald soort C2-verkeer herkennen en blokkeren, stappen aanvallers over op een nieuwe methode.
Een duidelijke trend is het steeds vaker "verstoppen in het zicht": aanvallers maken gebruik van vertrouwde, veelgebruikte clouddiensten in plaats van eigen, opvallende servers, omdat beveiligingsteams die diensten niet zomaar kunnen blokkeren zonder ook legitieme bedrijfsprocessen te verstoren. Daarnaast maakt de vrijwel universele versleuteling van internetverkeer (HTTPS/TLS) het voor verdedigers lastiger om louter op basis van de inhoud te zien of verkeer kwaadaardig is; detectie leunt daardoor steeds meer op gedragspatronen, zoals ongebruikelijke tijdstippen of frequenties van verkeer, in plaats van op de inhoud zelf.
Een belangrijk hulpmiddel voor verdedigers is het MITRE ATT&CK-framework, een publiek beschikbare, gestandaardiseerde kennisbank van aanvalstechnieken die wordt onderhouden door de Amerikaanse non-profitorganisatie MITRE Corporation. Command-and-control is daarin een eigen categorie, met tientallen gedocumenteerde subtechnieken, wat beveiligingsteams wereldwijd helpt om een gemeenschappelijke taal en detectiestrategie te gebruiken. Toch blijft volledige uitroeiing van C2-gebruik onwaarschijnlijk: zolang er internet is, zullen er manieren blijven bestaan om op afstand instructies te sturen naar besmette apparatuur, en exacte cijfers over hoeveel C2-servers wereldwijd op enig moment actief zijn, zijn altijd schattingen, omdat infrastructuur voortdurend verschijnt en weer verdwijnt.
Wie werken eraan?
Aan de aanvallende kant staan uiteenlopende partijen: van individuele cybercriminelen en georganiseerde criminele groepen die botnets verhuren, tot vermoedelijk statelijk gesponsorde groepen die C2-infrastructuur inzetten voor spionage. Over de precieze identiteit en werkwijze van dergelijke groepen bestaat vaak onzekerheid; toeschrijving (attributie) aan een specifiek land of specifieke groep is technisch lastig en blijft regelmatig onderwerp van discussie tussen onderzoekers.
Aan de verdedigende kant is MITRE Corporation toonaangevend met het ATT&CK-framework. Grote beveiligingsbedrijven zoals Google/Mandiant, CrowdStrike en Microsoft Threat Intelligence volgen actief C2-infrastructuur van criminele en statelijke groepen en publiceren daarover dreigingsanalyses. Overheidsinstanties spelen eveneens een grote rol: in Nederland is dat het Nationaal Cyber Security Centrum (NCSC), in de Verenigde Staten CISA (Cybersecurity and Infrastructure Security Agency), en op Europees niveau Europol, dat via zijn cybercrime-eenheid EC3 meewerkt aan internationale operaties tegen botnets zoals Emotet. Ook academische onderzoeksgroepen en universiteiten dragen bij, bijvoorbeeld door C2-verkeer te analyseren en nieuwe detectiemethoden te ontwikkelen.