Revisado em por Roberto Lima

Neste artigo

Em operações ofensivas avançadas, sejam de atacantes reais ou exercícios de Red Team, o servidor de Comando e Controle (C2) é o coração da operação. Se o Blue Team identifica e bloqueia o C2, toda a campanha é neutralizada. Por isso, atacantes sofisticados nunca expõem o C2 diretamente: eles usam redirectors.

Entender como redirectors funcionam é essencial tanto para quem ataca (Red Team) quanto para quem defende (Blue Team). Este artigo cobre a mecânica técnica, as técnicas de evasão mais usadas e, principalmente, como detectar e defender sua organização.

O que são C2 Redirectors

Um C2 redirector é um servidor intermediário que recebe tráfego de implants (malware) na máquina comprometida e o encaminha ao servidor C2 real. Funciona como um proxy reverso que oculta a localização do C2, dificultando que equipes de defesa identifiquem e bloqueiem a infraestrutura do atacante.

93%
dos grupos APT utilizam alguma forma de redirecionamento de tráfego C2 para ocultar infraestrutura (MITRE ATT&CK T1090)

Se o redirector for descoberto e bloqueado, o atacante simplesmente substitui por outro, o C2 real permanece intacto e operacional. É infraestrutura descartável por design.

Cadeia de comunicação C2

Fluxo de tráfego em 4 camadas

  • Camada 1, Implant: código malicioso na máquina da vítima. Envia beacons e recebe comandos
  • Camada 2, Redirector(s): servidor(es) intermediário(s) que recebem o tráfego e encaminham. Descartáveis
  • Camada 3, Filtragem (opcional): camada de validação que verifica se o tráfego é do implant antes de encaminhar
  • Camada 4, Team Server (C2): servidor real de comando e controle. Nunca exposto diretamente à internet

Para a rede da vítima, todo o tráfego parece ir para o redirector, que pode ser um domínio legítimo, um CDN ou um IP aparentemente inofensivo. O C2 real é invisível.

Tipos de redirectors

Redirector simples (dumb)

Encaminha todo o tráfego indiscriminadamente para o C2. Implementado com ferramentas como socat ou regras iptables. Rápido de configurar, mas mais fácil de detectar, qualquer análise do servidor revela o encaminhamento.

Redirector inteligente (smart)

Inspeciona o tráfego e filtra seletivamente: encaminha apenas requisições que correspondem a padrões esperados do implant (URIs específicas, headers, user agents). Para qualquer outra requisição, serve conteúdo legítimo, um site real, blog ou página corporativa. Implementado com Nginx ou Apache com regras de proxy condicional.

Redirectors por protocolo

Protocolos mais utilizados

  • HTTP/HTTPS: o mais comum, se mistura ao tráfego web normal. Proxy reverso com Nginx ou Apache filtra por URI, headers ou certificado
  • DNS: comunicação C2 encapsulada em queries DNS (TXT records). Porta 53 raramente é bloqueada. Baixa largura de banda, mas muito furtivo
  • SMTP: comandos C2 embutidos em e-mails. Usa Postfix como relay. Oferece persistência store-and-forward
  • ICMP: dados C2 em payloads de pacotes ping. Raramente monitorado, mas limitado em volume
  • WebSocket: comunicação bidirecional sobre WSS. Difícil de distinguir de aplicações web legítimas

Técnicas avançadas de evasão

Domain fronting

Uma das técnicas mais sofisticadas: o tráfego C2 é roteado através de CDNs de alta reputação (CloudFront, Azure Front Door, Fastly). A conexão TLS visível aponta para o domínio da CDN, mas o header HTTP Host dentro do túnel criptografado direciona para o C2 real.

Para o firewall e proxy da organização, o tráfego parece ser comunicação normal com um serviço confiável, bloquear significaria bloquear o CDN inteiro.

Modelagem de tráfego (traffic shaping)

Atacantes sofisticados modelam o tráfego C2 para imitar comportamento humano:

  • Horário comercial: beacons mais frequentes (1-5 min) durante expediente; intervalos longos (30-120 min) à noite
  • Volume proporcional: transferências maiores em horário de pico; mínimas em fins de semana
  • Jitter aleatório: intervalos não fixos para evitar detecção de padrões regulares
  • Navegação simulada: requisições a páginas legítimas intercaladas com beacons C2

Mimicry de certificados e TLS

  • Certificados Let’s Encrypt válidos e confiáveis no redirector
  • OCSP stapling para evitar validação externa do certificado
  • Cipher suites modernos (TLS 1.3, AEAD) que correspondem a tráfego legítimo
  • SNI configurado para domínios de aparência profissional

Encapsulamento de protocolos

  • DNS tunneling: dados C2 codificados em subdomínios ou registros TXT
  • ICMP tunneling: payloads em pacotes ping com jitter aleatório
  • Headers HTTP customizados: dados Base64 em headers como X-Custom-Data
  • Steganografia: dados ocultos em imagens aparentemente inofensivas

Como detectar tráfego C2 com redirectors

A detecção exige combinação de múltiplas técnicas, nenhuma isolada é suficiente contra adversários sofisticados.

JA3/JA3S fingerprinting

JA3 gera um hash único a partir dos parâmetros do TLS Client Hello (versões, cipher suites, extensões). Ferramentas C2 como Cobalt Strike, Metasploit e Empire possuem fingerprints JA3 conhecidos que podem ser detectados independente do IP ou certificado usado.

Integre JA3 com seu SIEM e compare contra bases de fingerprints maliciosos.

Análise de beaconing

Implants C2 se comunicam em intervalos, mesmo com jitter. Ferramentas de NDR detectam padrões estatísticos:

  • Intervalos regulares: comunicações com frequência previsível, mesmo com variação
  • Consistência de volume: pacotes de tamanho similar em cada beacon
  • Long-polling HTTPS: conexões que permanecem abertas esperando comandos
  • Alta frequência para IPs específicos: conexões repetitivas para o mesmo destino

Monitoramento DNS anômalo

  • Volume de queries: DNS tunneling gera volume anormal de requisições para um domínio
  • Entropia de subdomínios: subdomínios com strings aleatórias indicam dados codificados
  • Domínios recém-registrados: NRDs (Newly Registered Domains) usados como redirectors
  • Registros TXT incomuns: respostas TXT com dados longos ou codificados

Inspeção de certificados TLS

  • Certificados recém-emitidos (<7 dias) para domínios desconhecidos
  • Mismatch entre SNI e certificado
  • Domínios que só possuem certificado Let’s Encrypt sem histórico web
  • Monitoramento de Certificate Transparency logs via crt.sh

Regras de detecção (Suricata/Snort)

Regras específicas podem detectar:

  • POST requests com Content-Type: application/octet-stream para destinos incomuns
  • Conexões HTTPS com long-polling (conexões mantidas por minutos)
  • Frequência de conexões: 5+ conexões por fonte em janela curta para mesmo destino
  • User-Agent inconsistente com o software real da máquina

A engenharia de detecção deve criar e manter regras específicas para padrões C2 conhecidos.

Estratégia de defesa para organizações

Defesa em profundidade contra C2

Camadas de detecção e prevenção

  • Firewall NGFW com DPI: inspeção de conteúdo além de IP/porta, incluindo TLS decryption
  • Proxy com filtragem de conteúdo: categorização de domínios, bloqueio de NRDs, inspeção SSL
  • NDR: análise comportamental de tráfego de rede, detecção de beaconing e anomalias
  • EDR/XDR: detecção no endpoint de processos fazendo callback para destinos suspeitos
  • SIEM: correlação de eventos de múltiplas fontes para identificar padrões C2
  • Threat Intelligence: feeds de IOCs (IPs, domínios, hashes JA3) associados a infraestrutura C2

Controles específicos contra domain fronting

  • Inspecionar header HTTP Host mesmo em tráfego HTTPS (requer TLS inspection)
  • Comparar SNI do TLS handshake com Host header da requisição HTTP
  • Monitorar volume anômalo de tráfego para CDNs específicos
  • Implementar allowlist de domínios permitidos via proxy

DNS Security

  • DNS sinkholing para domínios maliciosos conhecidos
  • Monitoramento de requisições DNS para domínios recém-registrados
  • Análise de entropia em subdomínios (detecta DNS tunneling)
  • Limitar tipos de registro DNS permitidos (bloquear TXT para domínios desconhecidos)
  • Forçar uso de DNS corporativo (bloquear DNS direto 8.8.8.8/1.1.1.1 no firewall)

Purple Team e validação

A melhor forma de validar se suas defesas detectam C2 é testá-las. Exercícios de Purple Team permitem que Red e Blue Team trabalhem juntos para validar detecções.

Cenários de teste recomendados

  • Deploy de implant com HTTP(S) beacon através de redirector simples
  • Teste de domain fronting via CDN público
  • DNS tunneling com exfiltração simulada
  • ICMP tunneling com payload codificado
  • Beaconing com jitter variável e traffic shaping

Para cada cenário, o Blue Team valida: o SIEM gerou alerta? O NDR detectou o padrão? O XDR correlacionou endpoint + rede? Se não, é momento de criar regras de detecção específicas.

Considerações finais

C2 redirectors representam uma das técnicas mais eficazes para ocultar operações ofensivas. Para defensores, a chave não é tentar bloquear cada redirector individualmente, eles são descartáveis) mas sim detectar o padrão de comportamento C2 independente da infraestrutura.

Organizações que combinam JA3 fingerprinting, análise de beaconing, monitoramento DNS, inspeção TLS e threat intelligence conseguem identificar comunicações C2 mesmo quando passam por múltiplas camadas de redirecionamento. A detecção comportamental supera a detecção baseada em IOCs quando o adversário rotaciona infraestrutura constantemente.

Perguntas Frequentes

O que é um C2 redirector?

É um servidor intermediário que recebe tráfego de implants e o encaminha ao C2 real. Funciona como proxy que oculta a localização do servidor de comando, dificultando que equipes de defesa identifiquem a infraestrutura do atacante.

Qual a diferença entre redirector dumb e smart?

Dumb encaminha todo tráfego indiscriminadamente. Smart inspeciona e filtra: encaminha apenas tráfego que corresponde ao padrão do implant e serve conteúdo legítimo para qualquer outra requisição, dificultando detecção.

Como detectar tráfego C2 com redirectors?

Combine: JA3/JA3S fingerprinting para identificar ferramentas C2 pelo handshake TLS, análise de beaconing para padrões de intervalo, monitoramento DNS anômalo, inspeção de certificados TLS e análise comportamental via NDR.

O que é domain fronting?

Técnica onde tráfego C2 é roteado via CDNs de alta reputação. A conexão TLS visível aponta para o CDN, mas o header Host interno direciona para o C2. Para a rede da vítima, parece comunicação normal com serviço confiável.

Fontes e referências técnicas

  • MITRE ATT&CK: T1090 (Proxy), T1071 (Application Layer Protocol), T1572 (Protocol Tunneling)
  • MITRE ATT&CK, T1090.004 (Domain Fronting)
  • Salesforce, JA3: SSL/TLS Client Fingerprinting
  • xbz0n.sh, C2 Redirectors: A Practical Guide
  • SANS, Detecting C2 Frameworks with Network Analysis
  • Cobalt Strike, Infrastructure Best Practices
  • Mandiant, APT Infrastructure Tracking

Precisa testar a detecção de C2 na sua organização?

Realizamos exercícios de Red Team, Purple Team e avaliações de detecção: simulamos operações C2 reais para validar se suas defesas detectam técnicas avançadas de evasão.

Falar com Especialista
Inteligência Brasil

Inteligência Brasil

Consultoria especializada em Segurança Ofensiva, Red Team e Detecção de Ameaças Avançadas.