# Jak aktywność Cobalt Strike wygląda w sieci?

Cobalt Strike to komercyjne narzędzie do autoryzowanych ćwiczeń red team, które przestępcy masowo nadużywają, często w złamanych wersjach, do kontroli przejętych maszyn. W sieci jego implant, zwany beaconem, łączy się z serwerem zespołu w skonfigurowanych odstępach, zwykle przez HTTPS, czasem przez DNS albo między hostami wewnętrznymi przez SMB. Oznaki to regularne połączenia z rozrzutem do celu, z którego nikt inny nie korzysta, domyślne lub ledwie zmienione ustawienia w żądaniach webowych i certyfikatach, odciski klienta TLS zgodne z opublikowanymi dla znanych konfiguracji oraz połączenia SMB między stacjami roboczymi, które zwykle ze sobą nie rozmawiają. Wielu operatorów zmienia konfigurację właśnie po to, by uniknąć tych oznak, więc zachowanie liczy się bardziej niż wskaźniki. NetSenX wykrywa beaconing i ruch lateralny w każdym planie, a od planu Starter porównuje handshake TLS z odciskami znanego malware tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPAN/TAP.

FAQ: [Techniki ataków w prostych słowach](https://netsenx.com/pl/faq/attacks) · https://netsenx.com/pl/faq/what-does-cobalt-strike-look-like-on-the-network

## Czytaj dalej

- https://netsenx.com/pl/detect-lateral-movement-c2-beaconing
- https://netsenx.com/pl/is-someone-inside-your-network

## Powiązane pytania

- [Czy wewnętrzne skanowanie portów to znak obecności intruza?](https://netsenx.com/pl/faq/is-internal-port-scanning-a-sign-of-an-intruder)
- [Jak się dowiedzieć, że ktoś zgaduje hasła w naszej sieci wewnętrznej?](https://netsenx.com/pl/faq/how-to-know-if-someone-is-guessing-passwords-internally)
- [Jak wykryć duże wysyłki danych z serwera do chmury?](https://netsenx.com/pl/faq/how-to-detect-large-uploads-to-cloud-storage-from-a-server)
- [Czym jest nadużycie PsExec lub udziałów administracyjnych i dlaczego antywirus tego nie zgłasza?](https://netsenx.com/pl/faq/what-is-psexec-and-admin-share-abuse)
- [Czy napastnicy mogą poruszać się po naszej sieci ze skradzionymi hasłami i bez złośliwego oprogramowania?](https://netsenx.com/pl/faq/can-attackers-move-with-stolen-passwords-and-no-malware)