تاکتیک جدید Ghost Calls از Zoom و Microsoft Teams برای عملیات C2 سوءاستفاده می‌کند

محققان امنیتی روشی جدید برای فرار از سیستم‌های کنترل و فرماندهی (C2) به نام «تماس‌های شبح» (Ghost Calls) ارائه داده‌اند که از سرورهای TURN مورد استفاده اپلیکیشن‌های کنفرانس ویدئویی مانند زوم و مایکروسافت تیمز برای تونل کردن ترافیک از طریق زیرساخت‌های مورد اعتماد سوءاستفاده می‌کند. این تکنیک که توسط آدام کروسر، محقق امنیتی شرکت Praetorian در کنفرانس BlackHat USA ارائه شد، از اعتبارنامه‌های مشروع، WebRTC و ابزارهای سفارشی استفاده می‌کند تا اکثر دفاع‌ها و اقدامات ضد سوءاستفاده را دور بزند، بدون اینکه به آسیب‌پذیری خاصی متکی باشد.

روش کار این تکنیک بر اساس سوءاستفاده از پروتکل TURN (Traversal Using Relays around NAT) است که معمولاً توسط سرویس‌های تماس ویدئویی، VoIP و WebRTC استفاده می‌شود. هنگامی که کلاینت زوم یا تیمز به جلسه‌ای می‌پیوندد، اعتبارنامه‌های موقت TURN دریافت می‌کند که مهاجمان می‌توانند آن‌ها را ربوده و تونل WebRTC مبتنی بر TURN بین خود و قربانی برقرار کنند. کروسر همچنین ابزار منبع‌بازی به نام «TURNt» توسعه داده که در GitHub در دسترس است و می‌تواند برای تونل کردن ترافیک C2 از طریق سرورهای TURN زوم و تیمز استفاده شود. این روش به مهاجمان امکان پنهان کردن ترافیک مخرب در قالب ترافیک عادی کنفرانس ویدئویی را می‌دهد و از فایروال‌ها، پروکسی‌ها و بازرسی TLS عبور می‌کند.