Så fungerar C2Looper – bakdörren som tar order via GitHub

Två versioner med olika kommunikationssätt

Den äldre versionen: direkt HTTP-kommunikation

Äldre C2Looper-prover kommunicerar med en traditionell kommando- och kontrollserver via okrypterad HTTP och använder JSON-baserade instruktioner. Rapporter beskriver mycket täta avfrågningar, ibland med ungefär en sekunds intervall. Det kan skapa ett tydligt beteendemönster i nätverks- eller endpointloggar.

Bakdörrens beacon, alltså den återkommande signalen till operatören, identifierar den infekterade datorn med bland annat:

• Windows-användarens namn
• datorns DNS-värdnamn
• process-ID:t för den körande C2Looper-processen
• ett bot-ID som bygger på värdnamnet och användarnamnet

Beaconen skickas till sökvägen /api/beacon, medan resultat från körda kommandon rapporteras via /api/result/.

Kommandona ger operatören praktisk kontroll över systemet och omfattar bland annat:

• körning av valfria skal- och systemkommandon
• kartläggning av datorn och dess miljö
• nedladdning av filer
• uppdatering av implantatet och installation av ytterligare nyttolaster

En särskilt intressant uppdateringsfunktion använder kommandot upload. Då hämtas en portabel körbar fil från en URL som operatören anger. Filen sparas som en DLL i användarens lokala OneDrive-katalog, exempelvis som wtsapi32.dll under %LocalAppData%\\Microsoft\\OneDrive. Därefter kan skadevaran stoppa OneDrive-processen och låta en legitim OneDrive-fil läsa in det skadliga biblioteket genom så kallad DLL-sideladdning.

Tekniken utnyttjar att ett betrott program normalt letar efter bibliotek i sin egen katalog. Det viktiga för försvarare är därför inte bara att OneDrive finns installerat, utan att en legitim OneDrive-binär laddar en oväntad DLL från en ovanlig eller skrivbar användarkatalog.

Försvårad analys i äldre prover

C2Looper använder XOR-dekryptering av strängar under körning, enligt rapporteringen med en återanvänd åttabytesnyckel. Skadevaran löser också upp Windows-API:er dynamiskt genom LoadLibrary och GetProcAddress. Det kan göra en enkel statisk analys mindre givande och ökar värdet av beteendedata från EDR-verktyg, alltså system för upptäckt och hantering av hot på klienter och servrar.

Den nyare versionen använder GitHub som kontrollkanal

I en nyare version har C2Looper flyttat kommando- och kontrollfunktionen från en vanlig server till GitHub-repositorier. Repositorierna används för instruktioner, beacons, kommandosvar och – enligt rapporteringen om den nyare varianten – även data kopplad till ytterligare nyttolaster.

Varje infekterad dator får en egen katalog i ett repository. Implantatet läser instruktioner från filen cmd.json, utför den begärda åtgärden och skriver resultatet till result.json i samma katalog. Det ger operatören ett enkelt filbaserat sätt att skicka kommandon och samla in svar utan en separat C2-server.

Metoden kan göra traditionell domänblockering mindre effektiv, eftersom GitHub också är en legitim tjänst som används av utvecklare, företag och automatiserade byggmiljöer. Försvaret bör därför utgå från beteende: undersök periodisk åtkomst till GitHub-repositorier eller API:er från datorer som normalt inte behöver dem, och skilj misstänkta per-dator-mappar med JSON-filer från godkänd utvecklings- och CI/CD-trafik.

Bytet till GitHub och de ytterligare funktionerna för att köra nyttolaster tyder på att C2Looper fortfarande utvecklas aktivt.

Möjlig spridning genom ClickFix

ThreatLabz bedömer med låg till medelhög säkerhet att C2Looper kan spridas genom en flerstegskedja av typen ClickFix. I sådana kampanjer möts användaren av en falsk verifieringsruta, ett påstått webbläsarfel, en CAPTCHA eller ett meddelande om att ett systemproblem måste åtgärdas. Därefter övertalas personen att kopiera och köra ett kommando i PowerShell, dialogrutan Kör eller ett annat kommandogränssnitt.

Det gör den mänskliga interaktionen till en viktig punkt för både upptäckt och förebyggande. En webbplats eller webbläsarruta ska aldrig kräva att användaren klistrar in kommandon i PowerShell, Terminal eller dialogrutan Kör för att genomföra en verifiering eller reparation.

Rapportering om Teams-baserad vishing och missbruk av Quick Assist beskriver ett bredare ekosystem av social manipulation. Det tillgängliga underlaget bevisar däremot inte att alla sådana kampanjer har levererat C2Looper. Sambanden bör därför betraktas som en möjlig kontext, inte som en bekräftad koppling till samma kampanj.

Det här bör försvarare övervaka

Organisationer behöver inte försöka blockera varje verktyg eller tjänst som kan förknippas med skadevaran. Ett mer träffsäkert försvar är att leta efter kombinationer av avvikande beteenden:

• Täta HTTP-beacons: Undersök ovanligt regelbunden JSON-baserad POST-trafik, särskilt anrop som liknar /api/beacon och /api/result/, när trafiken kan kopplas till en ny eller misstänkt process.
• Misstänkt GitHub-aktivitet: Leta efter periodisk åtkomst till GitHub-repositorier eller API:er från klienter som inte normalt använder utvecklingstjänster. Var extra uppmärksam på per-dator-mappar med cmd.json och result.json. Blockera inte GitHub generellt; ta hänsyn till legitim utveckling och automatisering.
• DLL-sideladdning i OneDrive: Skapa larm när en legitim OneDrive-binär körs från en ovanlig sökväg i användarprofilen, laddar en DLL från en närliggande skrivbar katalog eller startar oväntade underprocesser.
• Kommandokörning och systemkartläggning: Använd EDR-telemetri för att upptäcka misstänkt PowerShell, cmd.exe, aktivitet via dialogrutan Kör, systeminventering, stegvisa nedladdningar och kommandokörning från nyupptäckta binärer.
• Samlat Rust-beteende: Bedöm dynamisk API-upplösning, krypterade strängar, nätverkspollning och installation av nyttolaster som ett sammanhängande mönster i stället för att förlita er på en enda filegenskap.

Så kan risken minskas

Tekniska kontroller behöver kombineras med skydd mot social manipulation. Begränsa eller styr användarinitierad PowerShell, skriptmotorer, osignerade binärer och körning från skrivbara användarkataloger där verksamhetens krav tillåter det. Applikationsallowlisting kan ytterligare minska möjligheten att köra nedladdade nyttolaster.

Utbilda både medarbetare och helpdeskpersonal i att aldrig klistra in kommandon som kommer från en webbplats, CAPTCHA, webbläsarfel eller oväntad supportkontakt. Fjärrsupportverktyg bör användas enligt godkända rutiner med verifierade supportkanaler, stark autentisering, sessionsloggning och snabb granskning av ovanliga sessioner.

Nätverkssegmentering, minsta möjliga behörighet, multifaktorautentisering, snabb patchning av internetexponerade system samt testade offline- eller oföränderliga säkerhetskopior kan begränsa skadan om C2Looper upptäcks. Om en klient visar misstänkt beaconing, skalaktivitet eller DLL-sideladdning bör den isoleras snabbt. Bevara samtidigt endpointloggar, nätverksdata och – när det är relevant – minnesdata för den fortsatta utredningen.

Slutsats

C2Loopers betydelse ligger i utvecklingen från en relativt enkel HTTP-bakdörr till ett mer flexibelt implantat som kan använda GitHub-repositorier som operativ infrastruktur. Funktionerna för fjärrskal, systemkartläggning, nedladdning och uppdatering gör skadevaran till en trovärdig första åtkomst i ransomware-relaterade intrång. Men den tillgängliga informationen motiverar en försiktig bedömning, inte en definitiv attribution.

Det starkaste försvaret är att kombinera säkra användarrutiner som står emot ClickFix med beteendebaserad jakt på ovanlig kommandokörning, OneDrive-sideladdning av DLL-filer, extremt tät HTTP-pollning och oförklarad aktivitet mot GitHub.