✅#C2
آشنایی با سرورهای فرماندهی و کنترل

در این مطلب، به معرفی سرورهای فرماندهی و کنترل (C2) می‌پردازیم .

سرور فرماندهی و کنترل (C&C یا C2) چیست؟

فرماندهی و کنترل (Command & Control) که به اختصار C2 یا C&C نامیده می‌شود، یک اصطلاح کلی برای سرورهایی است که در توزیع و کنترل بدافزارها نقش دارند

وظایف این سرورها شامل موارد زیر است، اما به آن‌ها محدود نمی‌شود:

*میزبانی از محموله‌های مخرب (Payloads).

*ارسال دستور به سیستم‌های آلوده.

*دریافت داده‌های استخراج (Exfiltrated) یا سرقت شده از قربانیان.

چالش تحلیل سرورهای C2

سرورهای C2 یک چالش منحصربه‌فرد برای تحلیلگران بدافزار ایجاد می‌کنند.اگرچه کد خودِ بدافزار برای مهندسی معکوس در دسترس باشد، اما کدی که روی سرور C2 اجرا می‌شود معمولاً در دسترس نیست.

به همین دلیل، همیشه مشخص نیست که زیرساخت C2 دقیقاً چگونه کار می‌کند یا چه قابلیت‌هایی دارد.

برخی از مهاجمان با سوءاستفاده از همین موضوع (خصوصی بودن کد سرور)، تکنیک‌های ضد-تحلیل (Anti-Analysis) را در سمت سرور پیاده‌سازی می‌کنند. به عنوان مثال، بدافزار لیست پردازش‌های در حال اجرای سیستم قربانی را به سرور ارسال می‌کند و اگر سرور ابزارهای مرتبط با تحلیل بدافزار را در آن لیست تشخیص دهد، از ارسال محموله مرحله دوم (2nd Stage Payload) خودداری می‌کند.

ایمنی در تحلیل: همیشه از ماشین مجازی استفاده کنید

اکیداً توصیه می‌شود که همیشه تمام تحلیل‌های خود را در یک محیط ایزوله مانند ماشین مجازی (Virtual Machine) انجام دهید تا امنیت سیستم اصلی شما به خطر نیفتد.

محیط تحلیل پیشنهادی

برای شروع تحلیل بدافزار، می‌توانید از محیط زیر استفاده کنید. این مشخصات، یک استاندارد صنعتی محسوب می‌شود و پشتیبانی بهتری برای آن وجود دارد.

سیستم میزبان (Host Machine):
هر سیستمی با پردازنده x86_64 (پردازنده‌های ۳۲-بیتی پشتیبانی نمی‌شوند و پردازنده‌های ARM نیازمند شبیه‌ساز هستند).

ماشین مجازی (Virtual Machine): نرم‌افزارهای VMware یا VirtualBox.

سیستم‌عامل (Operating System):
ویندوز۱۰ نسخه ۶۴-بیتی.

دیس‌اسمبلر (Disassembler):
نسخه رایگان IDA Free (یا نسخه‌های تجاری آن در صورت دسترسی).


دیس‌اسمبلرها و دی‌کامپایلرهای جایگزین

تحلیل بدافزار را می‌توان با ابزارهای دیگری مانند Ghidra یا Binary Ninja نیز انجام داد.

ابزار IDA یک استاندارد صنعتی برای تحلیل بدافزار است توصیه می‌شود حتی اگر قصد دارید در پروژه‌های شخصی خود از ابزار دیگری استفاده کنید، حتماً کار با IDA را یاد بگیرید.

نکات تکمیلی برای جامع‌تر شدن مطلب

سیستم‌عامل: ویندوز ۱۰ همچنان یک انتخاب عالی و پایدار برای آزمایشگاه تحلیل بدافزار است. با این حال، استفاده از ( ویندوز ۱۱ ) نیز کاملاً امکان‌پذیر و مناسب است. تحلیلگران حرفه‌ای اغلب چندین ماشین مجازی با نسخه‌های مختلف ویندوز (حتی ویندوز ۷) نگه می‌دارند تا رفتار بدافزار را روی سیستم‌عامل‌های متفاوت بررسی کنند.

ابزارهای مکمل ضروری:
تحلیل بدافزار فقط به دیس‌اسمبلر محدود نمی‌شود. برای یک تحلیل کامل، به ابزارهای دیگری نیز نیاز دارید که بهتر است با آن‌ها آشنا باشید:

دیباگرها (Debuggers):
ابزارهایی مانند x64dbg (برای محیط کاربری) و WinDbg (برای تحلیل‌های سطح پایین و کرنل) برای بررسی زنده و مرحله به مرحله اجرای کد ضروری هستند.

ابزارهای مانیتورینگ (Monitoring Tools): مجموعه ابزار Sysinternals Suite (به‌خصوص Process Monitor و Process Explorer) برای مشاهده فعالیت‌های بدافزار در سیستم‌عامل (مانند دسترسی به فایل‌ها، رجیستری و شبکه) حیاتی است.

تحلیل شبکه (Network Analysis):
ابزار Wireshark برای شنود و تحلیل ترافیک شبکه‌ای که بدافزار تولید می‌کند، یک استاندارد صنعتی است.

لازم به ذکر است که موارد بالا، استاندارد طلایی برای بدافزارهای ویندوزی است که همچنان بیشترین حجم بدافزارها را تشکیل می‌دهند. تحلیل بدافزارهای لینوکس، مک، اندروید یا iOS نیازمند ابزارها و محیط‌های متفاوتی است.

@NullError_ir 📢