# Wie sieht Cobalt-Strike-Aktivität im Netz aus?

Cobalt Strike ist ein kommerzielles Werkzeug für autorisierte Red-Team-Übungen, das Kriminelle in großem Stil missbrauchen, oft in gecrackten Versionen, um kompromittierte Rechner zu steuern. Im Netz meldet sich sein Implantat, Beacon genannt, in einem eingestellten Intervall bei einem Teamserver, meist über HTTPS, manchmal über DNS oder zwischen internen Hosts über SMB. Anzeichen sind regelmäßige Verbindungen mit Streuung zu einem Ziel, das sonst niemand nutzt, Standard- oder kaum geänderte Einstellungen in Webanfragen und Zertifikaten, TLS-Client-Fingerabdrücke, die zu veröffentlichten für bekannte Konfigurationen passen, und SMB-Verbindungen zwischen Arbeitsplätzen, die sonst nicht miteinander sprechen. Viele Betreiber ändern ihre Konfiguration genau, um diese Zeichen zu vermeiden; Verhalten zählt deshalb mehr als Indikatoren. NetSenX erkennt Beaconing und laterale Bewegung in jedem Plan und vergleicht ab dem Starter-Plan TLS-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPAN/TAP-Sensor.

FAQ: [Angriffstechniken erklärt](https://netsenx.com/de/faq/attacks) · https://netsenx.com/de/faq/what-does-cobalt-strike-look-like-on-the-network

## Weiterlesen

- https://netsenx.com/de/detect-lateral-movement-c2-beaconing
- https://netsenx.com/de/is-someone-inside-your-network

## Verwandte Fragen

- [Sind interne Portscans ein Zeichen für einen Eindringling?](https://netsenx.com/de/faq/is-internal-port-scanning-a-sign-of-an-intruder)
- [Woran erkennen wir, dass jemand in unserem internen Netz Passwörter rät?](https://netsenx.com/de/faq/how-to-know-if-someone-is-guessing-passwords-internally)
- [Wie erkennen wir große Uploads von einem Server in einen Cloud-Speicher?](https://netsenx.com/de/faq/how-to-detect-large-uploads-to-cloud-storage-from-a-server)
- [Was ist der Missbrauch von PsExec oder Admin-Freigaben, und warum meldet der Virenschutz ihn nicht?](https://netsenx.com/de/faq/what-is-psexec-and-admin-share-abuse)
- [Können sich Angreifer mit gestohlenen Passwörtern und ohne Schadsoftware durch unser Netz bewegen?](https://netsenx.com/de/faq/can-attackers-move-with-stolen-passwords-and-no-malware)