cyber / pentest-red-team
Outils avancés : frameworks d'exploitation et C2
Explication
Ce que vous allez apprendre
- Comprendre l'anatomie d'un module d'exploitation (exploit, payload, encoder)
- Identifier les principaux frameworks de Command & Control utilisés en red teaming
- Reconnaître les signaux réseau qui trahissent une infrastructure C2 active
- Comprendre le rôle du fingerprinting TLS (JA3/JA3S) dans la détection défensive
- Situer ces outils dans une perspective de détection plutôt que de simple utilisation offensive
Dans quel contexte ?
Une équipe de détection (blue team) reçoit une alerte EDR signalant un comportement suspect d'injection mémoire sur un poste, mais sans pouvoir identifier immédiatement l'outil utilisé par l'attaquant. Comprendre l'architecture générale des frameworks de Command & Control (C2) — comment ils communiquent, comment ils masquent leur trafic — permet à cette équipe d'interpréter correctement les indices disponibles et de retrouver la nature exacte de la compromission, plutôt que de réagir à l'aveugle.
D'abord, comprendre la structure d'un exploit classique
Un module d'exploitation, tel qu'on le retrouve dans Metasploit, se décompose toujours en éléments distincts : l'exploit déclenche la vulnérabilité elle-même, le payload est le code exécuté une fois l'exploit réussi (souvent un reverse shell ou un agent plus complet comme Meterpreter), et l'encoder transforme ce payload pour éviter certaines signatures statiques simples — une protection de plus en plus limitée face aux défenses modernes.
Prérequis
Cette leçon suppose une bonne compréhension des concepts de reverse shell et de payload, généralement introduits en tout début de ce parcours, ainsi qu'une notion de base du fonctionnement TLS.
| Framework C2 | Nature | Particularité |
|---|---|---|
| Cobalt Strike | Commercial | Très documenté côté détection, signatures largement connues |
| Sliver | Open-source | Alternative moderne multiplateforme étudiée en threat intel |
| Mythic | Open-source | Framework modulaire orienté recherche et formation |
Une fois l'infrastructure comprise, il faut savoir ce qu'un C2 gère réellement
Un framework C2 ne se limite pas à l'exécution de commandes : il orchestre la communication chiffrée avec l'implant compromis, l'exfiltration de données, et souvent le pivoting vers d'autres machines du réseau interne — reliant ainsi directement cette leçon aux techniques de mouvement latéral vues précédemment.
Piège courant
Croire que l'encodage d'un payload suffit à échapper à toute détection est une erreur dépassée depuis plusieurs années. Les EDR modernes détectent avant tout des comportements (injection de processus, appels système suspects) plutôt que des signatures statiques de fichiers, rendant l'encodage seul largement insuffisant.
Il reste un levier de détection particulièrement concret à connaître
Le fingerprinting JA3/JA3S analyse les caractéristiques d'une négociation TLS (ordre des extensions, algorithmes proposés) pour identifier la bibliothèque logicielle à l'origine de la connexion — souvent révélatrice d'un framework C2 spécifique, même lorsque le trafic est chiffré et que son contenu reste invisible.
Bonne pratique
Combine plusieurs indicateurs de détection C2 plutôt qu'un seul : régularité du beaconing, fingerprinting TLS, et alertes EDR comportementales. Un outil comme Zeek, en analysant les métadonnées de connexion (durée, régularité, volumétrie) sans même déchiffrer le contenu, révèle souvent un profil de trafic C2 caractéristique.
Après avoir exploré les outils techniques d'un engagement red team, la prochaine leçon change complètement de terrain en abordant le bug bounty — un cadre légal différent, avec ses propres règles méthodologiques et éthiques.
Commandes & code
Outils avancés : frameworks d'exploitation et C2
Comprendre les frameworks utilisés offensivement est essentiel pour les détecter défensivement : c'est l'angle retenu ici.
# Metasploit Framework : structure modulaire standard d'un test en lab
msfconsole -q
# search type:exploit name:eternalblue
# use exploit/windows/smb/ms17_010_eternalblue
# set RHOSTS 192.168.56.20
# set LHOST 192.168.56.1
# exploit# Anatomie d'un module Metasploit
Exploit : le code qui déclenche la vulnérabilité
Payload : le code exécuté une fois l'exploit réussi (ex: reverse shell, meterpreter)
Encoder : transforme le payload pour éviter certaines signatures statiques simples
NOPs : remplissage utilisé en exploitation mémoire bas niveau (buffer overflow)# Frameworks de Command & Control (C2) : infrastructure post-exploitation en red team
Cobalt Strike : commercial, "Beacon" comme agent, très documenté côté détection (signatures connues)
Sliver : open-source, multiplateforme, alternative moderne étudiée en threat intel
Mythic : framework C2 modulaire orienté recherche et formation
# Un C2 gère : communication chiffrée avec l'implant, exécution de commandes, exfiltration, pivoting# Détection défensive des frameworks C2 (perspective blue team)
- Signatures réseau connues (JA3/JA3S fingerprinting du TLS pour identifier certains frameworks)
- Beaconing à intervalle régulier avec jitter faible -> profil de trafic caractéristique
- Injection de processus (ex: process hollowing) détectable via EDR (Endpoint Detection & Response)
- Certificats TLS générés dynamiquement avec des attributs par défaut du framework (non modifiés)# Exemple défensif : Zeek (ex-Bro) pour extraire des indicateurs réseau utiles au threat hunting
zeek -r capture_lab.pcap
cat conn.log | zeek-cut id.orig_h id.resp_h id.resp_p duration
# Des connexions très régulières en durée/intervalle vers un même hôte sont un signal de C2Résumé
- Un exploit délivre un payload ; l'encodage évite certaines détections statiques, pas les EDR modernes.
- Cobalt Strike, Sliver et Mythic sont les frameworks C2 les plus étudiés en threat intelligence.
- Le beaconing régulier et le fingerprinting TLS (JA3/JA3S) sont des leviers de détection concrets.
- Les EDR modernes détectent surtout le comportement (injection mémoire) plus que les signatures statiques.
Exercices pratiques
Mission : identifier l'outil derrière une alerte EDR chez NordShield
Objectif : Décomposer une alerte EDR ambiguë en analysant l'anatomie d'un module d'exploitation et les signaux réseau d'un C2, dans une perspective défensive.
Contexte
L'EDR de NordShield signale une injection mémoire suspecte sur un poste, sans identifier l'outil précis utilisé par l'attaquant. Le trafic réseau associé est chiffré en TLS.