Классический C2-сервер на VPS с кастомным доменом — это уже музейный экспонат. Если в 2026 году имплант стучит на
185.x.x.x с self-signed сертификатом — его поймают за часы. Threat intelligence фиды содержат миллионы известных адресов, репутационные движки не дремлют.Но что происходит, когда тот же beacon уходит на
sheets.googleapis.com или graph.microsoft.com? NGFW видит валидный TLS, домен в allowlist, IP из пула Google. Заблокировать? Удачи объяснять бизнесу, почему не работает почта.🎯 Это называется living off the cloud — атакующий паразитирует на инфраструктуре, которой ваш SOC уже доверяет. C2-трафик выглядит как обычные CRUD-операции с документами. Ничего подозрительного.
По данным Picus Red Report 2026 (анализ более миллиона образцов малвари), 80% из топ-10 техник MITRE ATT&CK направлены именно на уклонение и закрепление. Корреляционные правила SIEM просто не знают, на что триггериться, когда C2-трафик — это POST-запрос к легитимному API.
🕵️ Посмотри на реальный кейс. Бэкдор GRIDTIDE — инструмент китайской кибершпионажной группировки, раскрытый Google Threat Intelligence Group совместно с Mandiant. Цели — телекомы и госорганизации в десятках стран.
Канал управления — обычная Google Таблица. Вместо квартального отчёта в ней команды для импланта. Конфигурация с ключами доступа расшифровывалась через AES-128-CBC, а после каждой сессии имплант вызывал
batchClear — удалял первые 1000 строк, чтобы не оставлять следов. Для закрепления использовался systemd-сервис xapt.service — название намеренно подобрано под легитимную утилиту Debian.Google остановила кампанию только через терминацию Cloud-проектов атакующих. До этого трафик был неотличим от легитимных обращений к Sheets. Сама Google прямо указала: это не уязвимость в продукте — это злоупотребление доверенной функциональностью.
🔍 Параллельно иранская группировка Boggy Serpens (MuddyWater, связана с MOIS) переключилась на Telegram API и кастомный UDP-трафик для управления имплантами. Четыре волны атак на одну энергетическую компанию Ближнего Востока за шесть месяцев — с персонализированными фишинговыми документами для каждого департамента. Инженеры, бухгалтерия, менеджмент — у каждого свой лур. Такая детализация указывает на предварительную компрометацию внутренней переписки.
⚡️ Что это значит для защитников? Три вещи:
• SSL-инспекция для облачных сервисов — не опция, а необходимость (да, это больно с точки зрения производительности)
• Поведенческий анализ API-вызовов: ритм обращений, объём данных, аномальные паттерны — вот где прячется детекция
• Мониторинг
systemd-сервисов с нестандартными именами — особенно в /etc/systemd/system/MITRE ATT&CK классифицирует это как T1102 (Web Service) — злоупотребление легитимными сервисами для канала управления. Полный разбор механики Microsoft Graph API C2, detection gaps и рабочие Sigma-правила для blue team — в статье.
https://codeby.net/threads/cloud-c2-obkhod-detektsii-red-team-playbook-po-oblachnym-kanalam-upravleniya-apt-grupp.92853/