Command-and-Control Server là gì? Đặc điểm và cách hoạt động

Hiện nay, có rất nhiều các mối đe dọa nguy hiểm nhắm vào người dùng hay tổ chức. Một trong số đó là Command-and-Control Server, đây là một hình thức tấn công sử dụng các yêu cầu để xâm nhập vào máy chủ nạn nhân. Còn chần chừ gì nữa, hãy cùng BKHOST tìm hiểu chi tiết hơn trong bài chia sẻ dưới đây.

Command-and-Control Server là gì?

C&C Server (Command-and-Control Server) là máy chủ lệnh được sử dụng để đưa ra yêu cầu đối với các thiết bị kỹ thuật số bị nhiễm phần mềm độc hại như Ransomware hoặc Rootkit. C&C Server có thể tạo ra các thiết bị nhiễm độc hại để thực hiện cuộc tấn công DDoS. Chẳng hạn như kẻ tấn công sẽ phân tán, thu thập, loại bỏ và mã hóa các dữ liệu nhạy cảm để tống tiền chủ sở hữu.

Trước kia, C&C Server được quản lý và hoạt động trong khoảng thời gian vài năm. Còn hiện nay, C&C Server chỉ được sử dụng trong thời gian ngắn và hoạt động chủ yếu trên các dịch vụ đám mây an toàn. Bằng cách sử dụng các thuật toán tạo tên miền để gây khó khăn cho các cơ quan chống lại cuộc tấn công nguy hiểm có thể tìm kiếm vị trí của tin tặc.

C&C Server hoạt động như thế nào?

Đầu tiên, kẻ tấn công sẽ sử dụng một máy chủ từ xa tự thiết kế gọi là C&C Server. Sau đó, chúng sẽ tiến hành lây nhiễm máy chủ độc hại này vào các thiết bị nạn nhân khác như máy tính, điện thoại và các thiết bị loT. Các cuộc tấn công C&C Server thường được thực hiện như sau:

• Sử dụng các Email giả mạo đánh lừa người dùng nhấp vào các liên kết hoặc tệp đính kèm độc hại.
• Lợi dụng các quảng cáo để lây nhiễm phần mềm độc hại.
• Lợi dụng tiện ích mở rộng và Plugin trình duyệt để lây nhiễm các tập lệnh độc hại vào trang web nhằm đánh cắp các thông tin đăng nhập của người dùng.
• Cài đặt phần mềm độc hại trên các thiết bị nạn nhân.

Nếu như thành công xâm nhập vào các thiết bị mục tiêu, kẻ tấn công sẽ sử dụng C&C Server để tương tác với máy chủ bị nhiễm đó và triển khai một mạng độc hại được gọi là Botnet. Trong đó, các Node mạng của Botnet được gọi là zombie.

Phần mềm độc hại sẽ được kích hoạt cài đặt khi máy chủ bị nhiễm thực thi các lệnh được gửi từ C&C Server thông qua HTTP, HTTPS hoặc hệ thống tên miền. Điều này cho phép kẻ tấn công có thể truy cập và kiểm soát thiết bị nạn nhân đó mà không bị Firewall phát hiện.

Các mục tiêu tấn công của C&C Server

Đối với hầu hết mọi đối tượng từ cơ quan an ninh mạng hay tổ chức đều có khả năng bị tấn công bởi C&C Server thông qua Email giả mạo, Lateral Movement hoặc trên trang web độc hại. Ngoài ra, tin tặc còn sử dụng C&C Server với mục đích sau:

• Đánh cắp các dữ liệu quan trọng của tổ chức như hồ sơ tài chính.
• Khởi động lại thiết bị nhằm làm gián đoạn các chương trình đang chạy trên hệ thống.
• Xâm nhập và phá hủy hệ thống mạng.
• Các cuộc tấn công DDoS được thực hiện nhằm xâm nhập vào dịch vụ web để vô hiệu hóa IP máy chủ.
• Kẻ tấn công sử dụng C&C Server để loại bỏ các ứng dụng bao gồm nhiều tài nguyên hữu ích trong tương lai.
• APT – Advanced Persistent Threat là mối đe dọa được kích hoạt chỉ khi có cơ hội tấn công cao nhất.

Các cấu trúc liên kết Botnet phổ biến

Botnet bao gồm các Bot đã bị nhiễm phần mềm độc hại trên mạng Internet do kẻ tấn công kiểm soát và sử dụng. Hầu hết các Botnet đều có khả năng kiểm soát và ra lệnh cho các tác nhân đe dọa. Các cấu trúc liên kết Botnet phổ biến bao gồm:

• Cấu trúc liên kết Star kết nối các Bot lại với nhau và chúng chạy xung quanh một thiết bị máy chủ trung tâm.
• Cấu trúc liên kết Multi-server cung cấp nhiều C&C Server dự phòng khác nhau.
• Cấu trúc liên kết Hierarchical tổ chức các C&C server thành các nhóm theo cấp.
• Cấu trúc liên kết Random tổ chức các C&C server thành các nhóm ngẫu nhiên giống như một Botnet P2P.
• Mỗi Bot trong P2P hoạt động độc lập với nhau, vừa là máy chủ vừa là máy khách. Cấu trúc liên kết này có độ mạnh cao và khó bị phát hiện nhất.

Đối với mạng Botnet truyền thống, các Bot bị nhiễm Trojan Horse sẽ sử dụng Internet Relay Chat (IRC) để có thể tương tác với C&C server trung tâm. Các Botnet này với nhiều khả năng như phân tán thư rác, cài đặt phần mềm độc hại, thu thập và đánh cắp các thông tin cá nhân.

Lợi dụng việc Internet Relay Chat (IRC) có thể quản lý các Botnet, kẻ tấn công luôn tìm ra các phương pháp yêu cầu lệnh bí mật hơn cho C&C Server. Một số yếu tố có thể thay cho lệnh Botnet như hình ảnh JPEG, tệp Microsoft Word và bài đăng từ tài khoản LinkedIn/Twitter.

Tổng kết về Command-and-Control Server