Evaluación de firmas en inspección TLS de red

Durante el inicio de una sesión TLS, el cliente envía un paquete Client Hello con la lista de versiones criptográficas soportadas, las suites de cifrado aceptadas y las extensiones y curvas elípticas disponibles.

El algoritmo JA3 extrae estos parámetros en el orden exacto en que son transmitidos y genera un hash MD5 de 32 caracteres. Esta huella es característica del software o biblioteca de red que genera la conexión (por ejemplo, Python requests, Go HTTP client, curl o un navegador específico).

Cuando un framework de C2 utiliza una librería criptográfica estática propia o configuraciones estándar sin calibrar, su huella JA3/JA4 es idéntica en todas las campañas del mundo.

Las empresas de seguridad de red y los proveedores de threat intelligence compilan listas negras de estos hashes. Si una máquina de la red interna inicia una conexión HTTPS cuyo hash JA3 coincide con el perfil conocido de una baliza, los cortafuegos de nueva generación la bloquearán automáticamente.

Para evadir la catalogación por firmas JA3, los operadores profesionales no embeben bibliotecas TLS personalizadas en sus artefactos.

En su lugar, los agentes invocan las APIs nativas del sistema operativo anfitrión (como WinINet o WinHTTP en Windows). Al utilizar las mismas librerías que emplean Microsoft Edge y los servicios del sistema, la huella JA3 del agente es idéntica a la del tráfico legítimo de la propia estación de trabajo.