¿Qué aspecto tiene en la red la actividad de Cobalt Strike?

Cobalt Strike es una herramienta comercial para ejercicios autorizados de red team que los delincuentes usan de forma masiva, a menudo en versiones crackeadas, para controlar máquinas comprometidas. En la red, su implante, llamado beacon, contacta con un servidor de equipo a un intervalo configurado, normalmente por HTTPS, a veces por DNS o entre equipos internos mediante SMB. Las señales incluyen conexiones regulares con variación hacia un destino que nadie más usa, ajustes por defecto o apenas cambiados en peticiones web y certificados, huellas de cliente TLSTLS: Transport Layer Security. El cifrado que protege la mayor parte del tráfico de internet, como HTTPS. que coinciden con las publicadas para configuraciones conocidas y conexiones SMB entre puestos que normalmente no hablan entre sí. Muchos operadores cambian la configuración precisamente para evitar estas señales, así que el comportamiento importa más que los indicadores. NetSenX detecta beaconing y movimiento lateral en todos los planes, y desde el plan Starter compara los handshakes TLS con huellas de malware conocido allí donde el agente captura paquetes, en Linux o como sensor SPANSPAN: switch port analyser (puerto espejo). Un ajuste del switch que envía una copia del tráfico a un puerto, donde un sensor puede observarlo./TAPTAP: test access point. Un pequeño dispositivo que copia el tráfico de un cable de red para un sensor..

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas