Überprüfen Sie die Protokollierung und Überwachung des Datenverkehrs zu und von vertrauenswürdigen Cloud-Diensten.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
khaos-c2 — KHAOS is a modern C2 framework that routes agent traffic through cloud services already trusted by enterprise networks.
KHAOS is a modern C2 framework that routes agent traffic through cloud services already trusted by enterprise networks. · Sprache: C · Topics: c2, cobalt-strike, command-and-control, evasion, havoc, linux · ⭐ 10 Stars
SecBoard-Einordnung
Dieses Framework nutzt vertrauenswürdige Cloud-Dienste, um den C2-Verkehr zu tarnen, was die Erkennung durch herkömmliche Sicherheitslösungen erschwert. Dies erhöht das Risiko erfolgreicher Command-and-Control-Operationen innerhalb von Unternehmensnetzwerken.
Realistisch schlimmster Fall: Ein Angreifer könnte KHAOS nutzen, um eine persistente Command-and-Control-Verbindung in einem Unternehmensnetzwerk aufzubauen, die schwer zu erkennen und zu unterbrechen ist. Dies könnte zu Datenexfiltration, weiterer Kompromittierung oder der Bereitstellung zusätzlicher Malware führen.
Empfehlung: Überprüfen Sie die Protokollierung und Überwachung des Datenverkehrs zu und von vertrauenswürdigen Cloud-Diensten. Implementieren Sie Verhaltensanalysen, um ungewöhnliche Muster im Cloud-Dienst-Verkehr zu identifizieren, die auf C2-Aktivitäten hindeuten könnten.
Im erfassten Bestand
- ▸7. erfasste Meldung zu Havoc innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Organisationen, die Cloud-Dienste nutzen, die von Unternehmensnetzwerken als vertrauenswürdig eingestuft werden.
Prüfen
3- ▸Überprüfen Sie die Protokolle von Cloud-Diensten auf ungewöhnliche oder nicht autorisierte Verbindungen und Datenübertragungen, insbesondere von internen Systemen.
- ▸Validieren Sie, ob Ihre EDR/XDR-Lösungen in der Lage sind, C2-Verkehr zu erkennen, der über vertrauenswürdige Cloud-Dienste getunnelt wird, basierend auf Verhaltensmustern statt nur auf Signaturen.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Überprüfung der Netzwerksegmentierung durch, um sicherzustellen, dass der Zugriff auf Cloud-Dienste auf das Notwendigste beschränkt ist und nicht autorisierte interne Systeme keine direkten C2-Verbindungen herstellen können.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Spezifische Cloud-Dienste, die von KHAOS genutzt werden können, sind im Artikel nicht genannt.
- ▸Details zu den verwendeten Umgehungstechniken sind nicht spezifiziert.
- ▸Die genauen Fähigkeiten des C2-Frameworks (z.B. Dateiexfiltration, Remote-Code-Ausführung) sind nicht detailliert beschrieben.
- ▸Es gibt keine Informationen über bekannte Kampagnen oder Angreifergruppen, die KHAOS einsetzen.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Sind wir hiervon betroffen — und können wir es detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„routes agent traffic through cloud services already trusted by enterprise networks“
„routes agent traffic through cloud services already trusted by enterprise networks“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Nutzer-/popularitaetsgetriebene Sammlung, Zuverlaessigkeit je Beitrag verschieden.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.