Jak aktywność Cobalt Strike wygląda w sieci?

Cobalt Strike to komercyjne narzędzie do autoryzowanych ćwiczeń red team, które przestępcy masowo nadużywają, często w złamanych wersjach, do kontroli przejętych maszyn. W sieci jego implant, zwany beaconem, łączy się z serwerem zespołu w skonfigurowanych odstępach, zwykle przez HTTPS, czasem przez DNS albo między hostami wewnętrznymi przez SMB. Oznaki to regularne połączenia z rozrzutem do celu, z którego nikt inny nie korzysta, domyślne lub ledwie zmienione ustawienia w żądaniach webowych i certyfikatach, odciski klienta TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS. zgodne z opublikowanymi dla znanych konfiguracji oraz połączenia SMB między stacjami roboczymi, które zwykle ze sobą nie rozmawiają. Wielu operatorów zmienia konfigurację właśnie po to, by uniknąć tych oznak, więc zachowanie liczy się bardziej niż wskaźniki. NetSenX wykrywa beaconing i ruch lateralny w każdym planie, a od planu Starter porównuje handshake TLS z odciskami znanego malware tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor./TAPTAP: test access point. Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora..

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy