Camuflar C2 como tráfico HTTP/2 o API legítima

Abre estructura_perfil_maleable.txt en la consola del laboratorio con el entorno rt-c2-maleable-guia.

Revisa los parámetros del bloque http-get. Configurar una ruta genérica o ausente en las peticiones del agente levantará sospechas inmediatas en los logs del proxy web. El operador debe investigar qué servicios en la nube utiliza la organización y seleccionar URIs verosímiles que coincidan con la operativa del negocio.

Cuando una baliza interactúa con el redirigidor, los sistemas defensivos pueden inspeccionar no solo la petición del cliente, sino también la respuesta entregada por el servidor web.

Si el servidor responde con texto plano no estructurado o páginas de error por defecto, los analizadores de contenido detectarán la incoherencia. Al configurar el perfil para devolver cabeceras Content-Type: application/json con cargas útiles que emulan respuestas de APIs en producción, el tráfico adquiere una apariencia completamente empresarial.

A diferencia de HTTP/1.1, donde cada petición web requiere su propia conexión o se envía de forma secuencial, el protocolo HTTP/2 permite multiplexar múltiples flujos de datos independientes a través de una única sesión TCP abierta.

Además, la compresión de cabeceras mediante HPACK reduce drásticamente el tamaño de los paquetes y oculta las firmas textuales evidentes a nivel de inspección de red no descifrada, dificultando que las reglas basadas en inspección de flujo identifiquen el canal ofensivo.