Aeternum: modulært C2-rammeverk bygget for langvarig tilgang

QRator Labs har publisert en analyse av Aeternum, et modulært kommando- og kontrollrammeverk som trusselaktører bruker til å styre kompromitterte systemer. Rammeverket har en utvidbar arkitektur med støtte for plugins og eksterne moduler, slik at operatørene kan tilpasse funksjonalitet for kartlegging, datatyveri og lateral bevegelse. Ifølge analysen bruker Aeternum kryptert kommunikasjon, fleksibel oppgavekjøring og vedvarende implantater for å beholde tilgang over tid. Den modulære utformingen lar operatørene endre funksjonalitet underveis og få den ondsinnede trafikken til å ligne mer på normal nettverkstrafikk.

Hva det betyr for virksomheten

Rammeverk som dette er bygget for å bli oppdaget seint eller ikke i det hele tatt. Konsekvensen for en virksomhet er ikke et dramatisk driftsavbrudd, men en angriper som sitter stille i miljøet i måneder og henter ut det som har verdi. Det er den typen hendelse som er dyrest å håndtere i etterkant, fordi omfanget er vanskelig å fastslå og varslingsplikten inntreffer når man ikke lenger kan si sikkert hva som er hentet ut.

Berigo anbefaler

• Sørg for at logger fra endepunkter, identitet og nettverk faktisk lagres lenge nok til å kunne rekonstruere et forløp på flere måneder.
• Overvåk utgående trafikk med utgangspunkt i hva som er normalt for deres miljø, ikke bare kjente indikatorer.
• Segmenter nettverket slik at et enkelt kompromittert endepunkt ikke gir vei videre til hele miljøet.
• Avklar på forhånd hvem som skal gjøre teknisk undersøkelse ved mistanke om langvarig tilgang, og hva avtalen med den leverandøren dekker.

Kilde

• qrator.net