Identificando tráfego do RAT Remcos sem decriptografia, com FlowCarp e EveBox
Post técnico da Netresec demonstra como o FlowCarp, que identifica mais de 600 protocolos e reconhece sub-protocolos dentro de sessões TLS sem decriptografá-las, foi usado para extrair alertas de uma captura de tráfego de uma infecção pelo RAT Remcos, exibindo os resultados na interface web EveBox e cruzando fingerprints JA3/JA4 com assinaturas do Suricata e inteligência do ThreatFox.
O ponto de partida técnico é identificar tráfego malicioso criptografado sem precisar quebrar o TLS — o FlowCarp faz isso analisando características observáveis da própria negociação TLS e do padrão de tráfego (tamanho de pacotes, timing, extensões do handshake) para inferir qual protocolo ou família de malware está por trás da sessão, mesmo com o conteúdo permanecendo cifrado. O resultado é exportado em formato Eve JSON, o mesmo usado pelo Suricata, o que permite reaproveitar ferramentas do ecossistema Suricata para visualização.
O EveBox entra como front-end web para esses eventos Eve JSON, permitindo ao analista navegar pelos alertas e fluxos de forma mais amigável do que lendo JSON bruto ou logs de linha de comando. No caso demonstrado, o PCAP de um sistema infectado por Remcos foi submetido ao servidor de demonstração do FlowCarp, que identificou a comunicação TLS do malware e gerou fingerprints JA3/JA4 característicos do handshake do Remcos.
A validação cruzada é o que dá solidez à identificação: o par IP:porta observado (193.178.170.155:443) foi conferido no ThreatFox, e o alerta foi correlacionado com uma assinatura específica do conjunto Emerging Threats do Suricata (2036594) — prática que reduz falsos positivos ao exigir concordância entre múltiplas fontes independentes de detecção em vez de confiar em um único indicador isolado.
Na prática, esse fluxo de trabalho é útil para analistas de tráfego de rede que precisam identificar C2 de malware em ambientes onde a decriptografia TLS via proxy (como discutido na atualização do PolarProxy) não é viável ou não foi configurada previamente — ele oferece uma via alternativa de detecção baseada em metadados de handshake e fingerprinting, complementar às abordagens de inspeção com decriptografia ativa.