Hoe ziet Cobalt Strike-activiteit eruit op het netwerk?
Cobalt Strike is een commerciële tool voor geautoriseerde red-team-oefeningen die criminelen op grote schaal misbruiken, vaak in gekraakte versies, om gecompromitteerde machines te besturen. Op het netwerk meldt het implantaat, beacon genoemd, zich met een ingesteld interval bij een teamserver, meestal via HTTPS, soms via DNS of tussen interne hosts via SMB. Tekenen zijn regelmatige verbindingen met spreiding naar een bestemming die verder niemand gebruikt, standaard- of nauwelijks gewijzigde instellingen in webverzoeken en certificaten, TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.-clientvingerafdrukken die overeenkomen met gepubliceerde voor bekende configuraties, en SMB-verbindingen tussen werkplekken die normaal niet met elkaar praten. Veel operators passen hun configuratie juist aan om deze tekenen te vermijden, dus gedrag telt zwaarder dan indicatoren. NetSenX detecteert beaconing en laterale beweging op elk abonnement en vergelijkt vanaf het Starter-plan TLS-handshakes met vingerafdrukken van bekende malware waar de agent pakketten vastlegt, op Linux of als SPANSPAN: switch port analyser (spiegelpoort). Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken./TAPTAP: test access point. Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.-sensor.
Lees verder
Gerelateerde vragen
- Is een interne poortscan een teken van een indringer?
- Hoe weten we of iemand op ons interne netwerk wachtwoorden probeert te raden?
- Hoe ontdekken we grote uploads van een server naar cloudopslag?
- Wat is misbruik van PsExec of beheershares, en waarom meldt antivirus het niet?
- Kunnen aanvallers zich met gestolen wachtwoorden en zonder malware door ons netwerk bewegen?
Begrippen op deze pagina
- TLS (Transport Layer Security)
- De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.
- SPAN (switch port analyser (spiegelpoort))
- Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken.
- TAP (test access point)
- Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.
← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen