Новый метод обхода C2-трафика на конференции BlackHat USA

На конференции BlackHat USA был продемонстрирован инновационный способ обхода систем обнаружения C2-трафика, получивший название Ghost Calls. Данный метод не основывается на уязвимостях программного обеспечения, а использует доверенные сервисы, такие как Zoom и Microsoft Teams, для маскировки своей активности.

Ghost Calls применяет протокол TURN, который обеспечивает взаимодействие в VoIP и видеозвонках, когда устройства находятся за NAT или файрволами. Злоумышленники могут создавать зашифрованные туннели WebRTC через уже существующую инфраструктуру видеосервисов, что делает их трафик похожим на легитимный.

Метод заключается в использовании легальных учётных данных TURN, выдаваемых Zoom или Teams для подключения к видеовстрече. Это позволяет атакующим установить WebRTC-туннель между своей машиной и заражённым устройством, скрывая свою активность от корпоративных систем мониторинга.

Специалисты Praetorian подчеркивают, что Ghost Calls демонстрирует уязвимость доверенных каналов связи. Неясно, планируют ли Zoom и Microsoft принять меры для защиты от подобных схем, но факт туннелирования через доверенные домены затрудняет разработку эффективных защитных мер.