Легитимный коммерческий фреймворк Cobalt Strike, созданный для пентестеров и red team и ориентированный на эксплуатацию и постэксплуатацию, давно любим хакерами, начиная от правительственных APT-группировок и заканчивая операторами шифровальщиков. И хотя он недоступен для рядовых пользователей и полная версия оценивается примерно в 3500 долларов за установку, злоумышленники все равно находят способы его использовать (к примеру, полагаются на старые, пиратские, взломанные и незарегистрированные версии).
Эксперты Cisco Talos рассказывают, что во втором квартале текущего года фреймворк использовался в 66% вымогательских атак. Аналитики пишут, что инструмент ценится ИБ-специалистами и преступниками в первую очередь за возможность развертывать в сетях жертв listeners. Они используются для мониторинга того, как зараженные узлы взаимодействуют с управляющими серверами для получения пейлоадов и дальнейших команд от злоумышленников.
«Сила Cobalt Strike заключается в том, что он предлагает множество ответов на сложные вопросы, которые могут возникнуть у злоумышленника. Развернуть listeners и beacons? Без проблем. Нужен шелл-код? Легко. Необходимо создавать поэтапные/бесэтапные исполняемые файлы? Готово. Учитывая универсальность Cobalt Strike, его популярность неудивительна. Злоумышленники все больше полагаются в работе на Cobalt Strike, а не на массовое вредоносное ПО», — говорят исследователи Cisco Talos.
В своем отчете эксперты пишут, что проанализировали структуру атак с использованием фреймворка Cobalt Strike и разработали около 50 сигнатур для Snort и опенсорсного антивирусного движка ClamAV.
crypby
01.10.2020 в 21:35
Ссылка на отчёт Тalos мертва.
AccessDenied
Request has expired
3600
2020-09-25T12:52:04Z
2020-10-01T12:34:40Z
xxx
xxx+y6Rl1EXQWrq4hw/0zEhb6KxCfT68n91P0u6E=