如何检测 Sliver C2 框架活动

本文分享自天翼云开发者社区《如何检测 Sliver C2 框架活动》，作者：Icecream

Sliver是一个开源的跨平台对手模拟/红队框架，为渗透测试目的而开发，但与其他类似软件如Cobalt Strike一样，也被网络犯罪分子用于恶意活动。由于其多功能性和灵活性，它在网络犯罪团伙中越来越受欢迎。

特点

• 动态代码生成
• 编译时混淆
• 多人模式
• 分阶段和无阶段的有效载荷
• 通过HTTP(S)程序性地生成C2
• DNS金丝雀蓝队检测
• 通过mTLS、WireGuard、HTTP(S)和DNS的安全C2
• 可使用JavaScript/TypeScript或Python完全编写脚本
• Windows进程迁移、进程注入、用户令牌操作等。
• Let's Encrypt集成
• 内存中的.NET程序集执行
• COFF/BOF内存加载器
• TCP和命名的管道支点

有一些团体已知正在使用Sliver框架，包括高级持续性威胁（APT）团体和勒索软件团伙。这些团体使用Sliver来发动高度复杂的攻击，如Ryuk勒索软件攻击和SolarWinds供应链攻击。

为了检测Sliver相关活动，企业必须实施多层次的安全方法，其中应包括使用端点检测和响应（EDR)工具、网络流量分析和文件系统监控。接下来介绍三种检测Sliver的主要方法：
网络流量分析

这种方法涉及监控网络流量，以检测Sliver的流量模式和特征。例如，Sliver的C2流量使用自定义加密算法进行加密，这可以通过监测网络流量来检测。此外，企业可以监测C&C流量使用的特定IP地址、域名和端口。一个例子是以下Yara规则

rule sliver_client : c2 implant
{
    meta:
        description = "Bishop Fox's Sliver C2 Implant"
        author = "Daniel Roberson"
        url = "https://xxxx/sliver/sliver"

    strings:
        $s1 = "xxxx/sliver/client"

    condition:
        all of them and filesize < 50MB
}

rule sliver_server : c2
{
    meta:
        description = "Bishop Fox's Sliver C2 Server"
        author = "Daniel Roberson"
        url = "https://xxxx/sliver"

    strings:
        $s1 = "RunSliver"

    condition:
        all of them and filesize > 50MB
}

文件系统监控

这种方法涉及监控文件系统中与Sliver的可执行文件有关的破坏指标（IoCs）。

企业可以通过监测这些文件以及特定系统文件的变化（如Windows注册表）来检测Sliver C2的存在。

妥协指标（IoC）的更新列表，例如Malware Bazaar提供的以下列表，对这种方法可能很有用。

First seen	SHA256
2023-01-05 19:38:07	3221de492e436a79655b4a82b72830a28de3aa417300fdf06e0b28202053ff3e
2023-01-05 19:37:00	1846c1db07d4f9a3a86605e38c0be5da38074b91cfafa1a72bccc693b06346e4
2022-12-16 19:20:46	f63993a7e4dc3e4242509482ca4d9ee1cbd4c00d219503ecf5d139d763a42f35
2022-07-18 08:00:49	78eb647f3d2aae5c52fcdc46ac1b27fb5a388ad39abbe614c0cfc902d223ccd6
2022-07-18 08:00:44	f13deec28f6f6d3f4f555f5a2db48cd8a541be52c331ccfccba929e4dfd6bc7a
2022-07-18 08:00:39	fa647a34b88c5409a58d2f2568147fa03112eb8bfa34bccd801830446213d7c4
2022-07-18 08:00:32	5568131f894caf1217f4cbda3dd40c1f39e680ce7727ed4a767cd1986e7805f0
2022-07-18 08:00:26	5c973707940097122ec97fcb73e7b14f054c11c7e1dd958efe933ae3c6a78c4e

端点检测和响应 (EDR) 工具

EDR工具旨在检测和应对端点上的威胁，并可以通过监测特定的行为来检测Sliver活动，如执行恶意文件或使用特定的网络连接。

例如，检测到以下的网络连接

指标	类型
43[.]128.62.42	IPv4
45[.]144.3.216	IPv4
hxxp://43.128.62.42/acl.exe	网址
hxxp://45.144.3.216/powercat.ps1	网址
5[.]199.173.103	IPv4
61[.]155.8.2	IPv4
hxxp://43.128.62.42:8888	网址
hxxp://45.144.3.216/2.ps1	网址