À quoi ressemble l'activité de Cobalt Strike sur le réseau ?

Cobalt Strike est un outil commercial destiné aux exercices d'équipe rouge autorisés, que des criminels détournent massivement, souvent dans des versions piratées, pour contrôler des machines compromises. Sur le réseau, son implant, appelé beacon, contacte un serveur d'équipe à un intervalle configuré, généralement en HTTPS, parfois par DNS, ou entre hôtes internes via SMB. Les signes incluent des connexions régulières avec variation vers une destination que personne d'autre n'utilise, des réglages par défaut ou à peine modifiés dans les requêtes web et les certificats, des empreintes de client TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. correspondant à celles publiées pour des configurations connues, et des connexions SMB entre postes qui ne se parlent pas d'ordinaire. Beaucoup d'opérateurs modifient leur configuration précisément pour éviter ces signes ; le comportement compte donc plus que les indicateurs. NetSenX détecte le beaconing et le mouvement latéral dans chaque offre et, à partir de l'offre Starter, compare les handshakes TLS aux empreintes de logiciels malveillants connus là où l'agent capture les paquets, sous Linux ou en capteur SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer./TAPTAP: test access point. Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur..

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes