C2 в изолированных средах браузера. Компания Mandiant продемонстрировала новую технологию, которую можно использовать для обхода всех существующих типов изоляции браузера с целью управления вредоносным ПО с помощью C2.

🌐 Типы изоляции браузера:
⏺️Удаленная изоляция браузера — наиболее безопасный и распространенный вариант, при котором браузер изолируется в облачной среде.
⏺️Локальная изоляция браузера, но браузер в изолированной среде запускается локально. Преимущество этого подхода в том, что доступ к локальным веб-приложениям можно получить без сложного подключения к облаку.
⏺️Локальная изоляция браузера, или изоляция браузера на стороне клиента, позволяет запускать браузер в изолированной среде в локальном контейнере или на виртуальной машине.

✏️ Таким образом, используя первые два типа изоляции, в локальный браузер пользователя отправляется только визуальное представление веб-страницы (поток пикселей), тем самым, предотвращая типичную связь импланта с С2 сервером.

😳 Отправка данных C2 Через Пиксели:
1️⃣ Вместо того, чтобы возвращать данные C2 в заголовках или теле HTTP-запроса, сервер C2 возвращает корректную веб-страницу, на которой визуально отображается QR-код.
2️⃣ Затем имплант использует локальный браузер без графического интерфейса (например через Selenium) для отображения страницы, делает скриншот и считывает QR-код для получения встроенных данных.
3️⃣ Используя машиночитаемые QR-коды, злоумышленник может отправлять данные с контролируемого им сервера на вредоносную программу, даже если веб-страница отображается в удалённом браузере.

❗️ Поскольку этот метод основан на визуальном содержимом веб-страницы, он работает во всех трёх типах изоляции браузера