Che aspetto ha in rete l'attività di Cobalt Strike?

Cobalt Strike è uno strumento commerciale per esercitazioni red team autorizzate che i criminali usano in modo massiccio, spesso in versioni craccate, per controllare macchine compromesse. In rete il suo impianto, chiamato beacon, contatta un team server a un intervallo configurato, di solito via HTTPS, a volte via DNS o tra host interni tramite SMB. I segnali comprendono connessioni regolari con variazione casuale verso una destinazione che nessun altro usa, impostazioni predefinite o appena modificate nelle richieste web e nei certificati, impronte del client TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS. che corrispondono a quelle pubblicate per configurazioni note e connessioni SMB tra postazioni che di solito non comunicano. Molti operatori cambiano la configurazione proprio per evitare questi segnali, quindi il comportamento conta più degli indicatori. NetSenX rileva beaconing e movimento laterale in ogni piano e, dal piano Starter, confronta gli handshake TLS con le impronte di malware noti dove l'agente cattura i pacchetti, su Linux o come sensore SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo./TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore..

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi