C2 Framework'leri Üzerine Derinlemesine Bir İnceleme: Cobalt Strike, Sliver ve Mythic

Bu yazıda Cobalt Strike, Sliver ve Mythic gibi popüler C2 framework'lerinin özelliklerini ve kullanım alanlarını keşfedeceğiz. Bu araçlar saldırı ve savunma stratejilerinde nasıl bir rol oynuyor? Detaylar yazımızda.

Giriş ve Konumlandırma

Giriş

C2 (Command and Control) framework'leri, siber güvenlik alanında önemli bir yere sahiptir. Bu framework'ler, saldırganların ele geçirdikleri sistemler üzerinde uzaktan kontrol sağlamalarına, komutlar göndermelerine ve bilgi çalmalarına olanak tanır. Modern siber tehditlerin çoğu, C2 yapıları üzerinden işletilmektedir; bu nedenle, C2 framework'lerinin işleyişini anlamak, both savunma ve saldırı perspektifinden kritik bir gereklilik haline gelmiştir.

C2 Framework Nedir?

C2 framework'leri, kötü niyetli aktörlerin hedef aldıkları sistemlerde istihbarat toplamalarına ve yönetim yapmalarına olanak tanıyan sistemlerdir. Bu yapıların temel amacı, bir istihdam ortamında aksiyon alabilmek ve verileri güvenli bir kanal üzerinden almak ve iletmektir. Ayrıca, C2 framework'leri; siber güvenlik eğitimlerinde, penetrasyon testlerinde ve ağ güvenliği analizi süreçlerinde aktif olarak kullanılmaktadır.

Önemi

C2 yapılarını anlamanın önemi, hem siber saldırıların tespit edilmesi hem de bu tür saldırılara karşı savunma yollarını geliştirmek açısından kritik rol oynamaktadır. Özellikle gelişmiş tehdit aktörleri (APT) tarafından kullanılan C2 framework'leri, yüksek derecede güvenlik gerektiren kurumsal sistemleri hedef alma eğilimindedir. Bu nedenle, ağ güvenliği uzmanları, siber güvenlik profesyonelleri ve penetrasyon test uzmanları için bu yapıların analizi kritik bir yetkinlik haline gelmiştir.

C2 framework'lerinin kendi aralarındaki farklılıklar da önemli bir konu başlığıdır. Örneğin, Cobalt Strike gibi popüler bir framework, kullanıcılara Malleable C2 profilleri sunarak trafik şekillendirme ve ağ güvenlik duvarlarının atlatılması imkânı tanırken, Sliver ise mTLS (Mutual TLS) protokolü ile güvenliği sağlamaktadır. Öte yandan, Mythic framework'ü çoklu ajan (agent) desteği ile birçok farklı iletişim kanalı sunmakta, bu da onu oldukça esnek bir yapı haline getirmektedir.

Siber Güvenlik ve Pentest Bağlamı

C2 framework'leri, yalnızca saldırganlar tarafından kullanılmakla kalmayıp, aynı zamanda siber güvenlik uzmanları ve penetrasyon test uzmanları tarafından da analiz edilmektedir. Bu tür framework'lerin incelenmesi, çeşitli saldırı senaryolarının simülasyonunu yapma, zayıf noktaları tespit etme ve ağ yapılarını daha güvenli hale getirme fırsatı sunar. Aşağıda, birkaç ana C2 framework'ünün özelliklerinin kısa bir özeti bulunmaktadır:

| Framework    | Özellikler                                                        |
|--------------|------------------------------------------------------------------|
| Cobalt Strike| Malleable profilleri ile trafiği normal HTTP/S gibi gösterebilir.|
| Sliver       | mTLS ile güvenli iletişim sağlarken, açık kaynaklıdır.          |
| Mythic       | Çoklu ajan desteği ve özelleştirilebilir iletişim kanalları vardır.|

Sonuç

C2 framework'leri, siber tehditlerin karmaşıklığı içinde önemli bir yere sahiptir. Bu yapıların derinlemesine incelenmesi, yalnızca saldırıların önlenmesi açısından değil, aynı zamanda siber güvenlik stratejilerinin geliştirilmesi için de elzem bir süreçtir. Siber güvenlik alanındaki profesyoneller, bu tür araçları ve yaklaşımları anlamak suretiyle, ağlarındaki güvenlik seviyesini artırma imkânı bulacaklardır. İlerleyen bölümlerde, Cobalt Strike, Sliver ve Mythic framework'lerinin teknik özellikleri ve uygulama alanları üzerinde daha detaylı bir şekilde durulacaktır.

Teknik Analiz ve Uygulama

Cobalt Strike ve Beacon

Cobalt Strike, günümüzde en yaygın kullanılan C2 (Command and Control) framework’lerinden biridir ve saldırganların hedef sistemlerde kalıcı erişim sağlamak için kullandığı çeşitli araçları içermektedir. Cobalt Strike'ta kullanılan "beacon" terimi, hedef sistem üzerinde çalışan ajanı ifade eder. Beacon, saldırganın komutlarını kontrol etmesine ve hedefteki verileri toplamasına olanak tanır. Beacon, belirli zaman dilimlerinde geri dönerek komut alır ve bu süreçte kullanılan iletişim kanalları genellikle şifrelenmiş protokollerdir.

Cobalt Strike, kurum içindeki ağ trafiğini meşru HTTP/S gibi gösterebilen Malleable C2 profilleri sunar. Bu profiller, bir saldırganın tespit edilme riskini azaltmak amacıyla C2 trafiğini şekillendirme yeteneği sağlar. Örnek bir yapılandırma, ağ güvenliği sistemlerinin algılayamayacağı şekilde trafiği değiştirmenin yollarını içerebilir.

# Malleable C2 profili örneği
---
http:
  method: "POST"
  uri: "/api/v1/command"
  headers:
    Host: "example.com"
    User-Agent: "Mozilla/5.0"
  body: "{ \"cmd\": \"<CMD>\" }"

Bu yapılandırma, Cobalt Strike'ın HTTP üzerinden komut göndermesini sağlar ve meşru web trafiği gibi görünmesine yardımcı olur.

Sliver mTLS İletişimi

Sliver, Go dili ile yazılmış ve açık kaynaklı bir C2 framework'üdür. Sliver, istemci ve sunucu arasındaki iletişimi sağlamak için mutual TLS (mTLS) protokolünü kullanır. Bu, her iki tarafın da sertifikalarla doğrulandığı ve bu sayede daha güvenli bir iletişim kanalı oluşturulduğu anlamına gelir.

Sliver, ağ güvenliği açısından daha zorlu bir hedef olurken, ayrıca üst düzey Cryto desteklerini de sunar. Ayrıca, Sliver'in sunduğu DNS tabanlı iletişim kanalı, saldırganın tespitini zorlaştırmak için özel alt alan adları (subdomain) kullanarak yapılandırılmıştır.

# Sliver'da mTLS yapılandırma örneği
sliver-server --host <IP_ADDRESS> --port 443 --mtls

Bu komut, Sliver sunucusunu mTLS destekli bir iletişim için başlatacaktır.

Mythic ve Ajan Modülleri

Mythic, konteyner tabanlı bir framework'dür ve farklı modüllerde yazılmış ajanlar (agent) ile özelleştirilebilir iletişim kanalları sunar. Mythic'teki ajanlar, C#, Python ve Go gibi dillerde yazılmıştır ve Apollo veya Poseidon gibi bileşenlere sahiptir. Bu modüller, saldırganların hedefle etkileşim kurma yöntemlerini çeşitlendirir.

Mythic'in en dikkat çekici özelliklerinden biri, JSON tabanlı veri alışverişi sağlamasıdır. Özelleştirilebilir User-Agent değerleri, saldırganın hedef ağda daha az dikkat çekmesini sağlar.

{
  "user_agent": "Mythic-Agent/1.0",
  "payload": {
    "command": "<COMMAND>"
  }
}

Bu örnek, Mythic kullanarak gönderilen bir komutun JSON formatında nasıl yapılandırılacağını göstermektedir.

Tespit Stratejileri

Gelişmiş tehdit aktörleri C2 framework’lerini kullanırken, hazırlıklı olmaları gereken bir diğer önemli konu ise tespit stratejileridir. Analistler, modern C2 framework'lerinin trafik kalıplarını anlamak ve bu kalıpları gözlemlerken kullanmak için belirli yöntemlere başvururlar. Genellikle, ağ trafiğinde sabit başlık yapıları ve belirli payload yapıları incelenerek tespit çalışmaları yapılır.

Ayrıca, SSL/TLS sertifika doğrulama adımları, tespit stratejilerinin önemli bir parçasıdır. Analistler, şüpheli C2 trafiğinde sertifika sağlayıcılarını kontrol ederek geçersiz veya kendinden imzalı sertifikaları tespit etmeye çalışırlar.

# Açık kaynaklı bir araç kullanarak sertifika kontrolü
openssl s_client -connect <TARGET>:<PORT> -showcerts

Bu komut, hedefteki C2 sunucusunun sertifikasını kontrol etmenizi sağlar ve olası güvenlik açıklarını gözden geçirmenize olanak tanır.

Sonuç

C2 framework’leri, siber tehdit aktörlerinin etkinliğini artıran karmaşık yapılar sunarken, aynı zamanda güvenlik uzmanları için de sürekli bir zorluk olmuştur. Cobalt Strike, Sliver ve Mythic gibi araçlar, her biri kendine özgü özelliklerle doludur ve bu araçları etkili bir şekilde anlamak, modern siber güvenlik ortamında kritik bir öneme sahiptir. Bu bağlamda, saldırıların keşfinin yanı sıra, getirdiği çözümler de dikkatlice değerlendirilmelidir.

Risk, Yorumlama ve Savunma

Siber güvenlik alanında, Command and Control (C2) framework'leri, gelişmiş tehdit aktörlerinin (APT) stratejik bir aracı olarak önemli bir rol oynamaktadır. Cobalt Strike, Sliver ve Mythic, yaygın olarak kullanılan üç farklı C2 framework'üdür. Bu framework'lerin sağladığı özellikler, siber saldırılarla ilişkili riskleri artırmakta ve bunların tespit edilmesini zorlaştırmaktadır.

Elde Edilen Bulguların Güvenlik Anlamı

C2 framework'lerine dair yapılan analizler, birçok güvenlik zafiyeti ve yanlış yapılandırmanın tespit edilmesine olanak sağlar. Örneğin, Cobalt Strike kullanımı sırasında yapılan konfigürasyon hataları, saldırganların düşük görünürlükle hedef sistemlere sızmasını kolaylaştırabilir. Yanlış yapılandırmaların etkisi, genellikle aşağıdaki alanlarda kendini gösterir:

Yanlış SSL/TLS Yapılandırmaları: Sertifika analizinde tespit edilen eksiklikler, C2 iletişiminin kolayca kesilebilmesini ya da sahte verilere maruz kalınmasını sağlayabilir. Özellikle, kendi kendine imzalanmış sertifikaların kullanımı, saldırganlar tarafından kötüye kullanılma potansiyeline sahiptir.

Sertifika analizi adımları:
1. Geçerli bir sertifika sağlayıcısından (CA) alınmış sertifikaları kontrol et.
2. Kendi kendine imzalanmış sertifikaları tespit et.
3. Sertifika geçerlilik tarihlerini incele.

Ağ trafiği izleme: C2 trafiğinin izlenmesi, saldırganların hedef sistemlerde nasıl ilerlediklerini ve hangi veri yollarını kullandıklarını anlamak açısından kritik öneme sahiptir. Cobalt Strike için örneğin, "Default Beacon" ile gönderilen veriler belirli bir JA3 parmak izi taşır; bu da analizcilerin bu trafiği sınıflandırmasını sağlar.

Yanlış Yapılandırma ve Zafiyet Etkileri

Yanlış yapılandırmalar, saldırganlara sistemlere sızma ve veri çalma yetenekleri kazandırabilir. Cobalt Strike'ın Malleable C2 profilleri, ağ trafiğini meşru bir HTTPS gibi göstermeyi mümkün kılar; dolayısıyla bu yapılandırmanın kötü niyetli kullanımı, tespit zorluğunu artırır.

Sliver framework'ü, mTLS (Mutual TLS) iletişimi sayesinde çok daha güvenli bir bağlantı sağlar. Ancak, yapılandırılması gereken doğru parametreler eksik olursa, bağlantı hâlâ tehlikeye girebilir. Elde edilen bulgulara bakıldığında, misconfigured istemcilerin saldırganlar tarafından nasıl ele geçirildiği ve sistemlerde nasıl kalıcı kalma yetkisi elde ettikleri gözlemlenmiştir.

Veri, Topoloji ve Servis Tespiti

Saldırganlar genellikle hedef sistemlerden veri çalmanın yanı sıra, servis ve topoloji tespiti gerçekleştirmektedirler. Cobalt Strike ve Mythic kullanarak gerçekleştirilen sızma testlerinde, kötü niyetli aktörlerin ağ haritalamada kullandıkları yöntemler gözlemlenmiştir. Özellikle:

Ağ Topolojisi: Saldırganlar, geçiş yaptıkları ağlar üzerinden bulut hizmetlerini keşfederler ve daha fazla veri elde etmek için iç iletişim yollarına sızarak hedef ortamda daha derinlere ulaşabilirler.
Servis Tespiti: Hedef sistemde çalışan hizmetlerin ve açık portların belirlenmesi, saldırganlara belirli servislerden yararlanma veya zafiyetleri istismar etme olanağı tanır.

Profesyonel Önlemler ve Hardening Önerileri

Böylesi bir tehdit ortamında, güvenlik ekiplerinin atacağı adımlar hayati önem taşımaktadır. Aşağıda önerilen profesyonel önlemler, her C2 framework'ü için ayrı ayrı değerlendirilmelidir:

Güvenli İletişim Protokolleri: Her iki tarafın (istemci ve sunucu) sertifika ile doğrulandığı mTLS gibi modern şifreleme protokollerinin kullanımı teşvik edilmelidir.
Ağ Gözetimi ve İzleme: Ağ trafiği sürekli izlenmeli ve olağan dışı aktiviteler için gerçek zamanlı uyarılar kurulmalıdır.
Eğitim ve Farkındalık: Kullanıcıların yanlış yapılandırma ve olası sosyal mühendislik saldırılarına karşı eğitilmesi, insan hatası kaynaklı güvenlik zafiyetlerini en aza indirecek önemli bir adımdır.

Sonuç Özeti

Cobalt Strike, Sliver ve Mythic gibi C2 framework'leri, siber güvenlik alanında ölçülmesi gereken karmaşık bir tehdit karışımı oluşturur. Yanlış yapılandırmalar ve güvenlik açıkları, saldırganların sistemlere erişim alanı sağlar. Ancak, doğru tetkikler, sertifika analizi ve proaktif güvenlik önlemleri ile bu zafiyetlerin etkilerini minimize etmek mümkündür. Güvenlik ekiplerinin sürekli gelişen bu tehditlere karşı hazırlıklı olmaları ve sistemlerini sürekli iyileştirmeleri, siber güvenlik pratiğinde başarının anahtarını oluşturmaktadır.