Wie sieht Cobalt-Strike-Aktivität im Netz aus?

Cobalt Strike ist ein kommerzielles Werkzeug für autorisierte Red-Team-Übungen, das Kriminelle in großem Stil missbrauchen, oft in gecrackten Versionen, um kompromittierte Rechner zu steuern. Im Netz meldet sich sein Implantat, Beacon genannt, in einem eingestellten Intervall bei einem Teamserver, meist über HTTPS, manchmal über DNS oder zwischen internen Hosts über SMB. Anzeichen sind regelmäßige Verbindungen mit Streuung zu einem Ziel, das sonst niemand nutzt, Standard- oder kaum geänderte Einstellungen in Webanfragen und Zertifikaten, TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Client-Fingerabdrücke, die zu veröffentlichten für bekannte Konfigurationen passen, und SMB-Verbindungen zwischen Arbeitsplätzen, die sonst nicht miteinander sprechen. Viele Betreiber ändern ihre Konfiguration genau, um diese Zeichen zu vermeiden; Verhalten zählt deshalb mehr als Indikatoren. NetSenX erkennt Beaconing und laterale Bewegung in jedem Plan und vergleicht ab dem Starter-Plan TLS-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann./TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Sensor.

← Alle 69 Fragen zu Angriffstechniken erklärtAlle Themen