⭕️ در تحلیل تکنیک Ghost Calls یک روش فرمان و کنترل (C2) را آشکار می‌سازد که با سوءاستفاده از طراحی ذاتی پروتکل TURN در پلتفرم‌های WebRTC مانند Zoom و Microsoft Teams عمل می‌کند.
مکانیسم اصلی شامل برقراری ارتباط سرور TURN با TTL بسیار طولانی از یک جلسه کنفرانس (حتی با حضور چند ثانیه‌ای) و سپس استفاده ناهمزمان از آن‌ها برای ایجاد یک رله داده دوطرفه از طریق زیرساخت جهانی و مورد اعتماد همین سرویس‌دهندگان است. این کانال ارتباطی با تونل‌سازی ترافیک خود از طریق TURNS بر روی پورت TCP/443، به شکلی موثر از فیلترینگ شبکه عبور کرده و به دلیل رویه رایج معاف کردن دامنه‌هایی مانند *.zoom.us از بازرسی TLS، عملاً ترافیک C2 را در یک تونل رمزنگاری‌شده و کاملاً پنهان مخفی می‌کند.

https://github.com/praetorian-inc/turnt
https://www.praetorian.com/blog/ghost-calls-abusing-web-conferencing-for-covert-command-control-part-1-of-2/
https://www.praetorian.com/blog/ghost-calls-abusing-web-conferencing-for-covert-command-control-part-2-of-2/

#RedTeam #C2
@securation