Легитимный коммерческий фреймворк Cobalt Strike, созданный для пентестеров и red team и ориентированный на эксплуатацию и постэксплуатацию, давно любим хакерами, начиная от правительственных APT-группировок и заканчивая операторами шифровальщиков. И хотя он недоступен для рядовых пользователей и полная версия оценивается примерно в 3500 долларов за установку, злоумышленники все равно находят способы его использовать (к примеру, полагаются на старые, пиратские, взломанные и незарегистрированные версии).

Эксперты Cisco Talos рассказывают, что во втором квартале текущего года фреймворк использовался в 66% вымогательских атак. Аналитики пишут, что инструмент ценится ИБ-специалистами и преступниками в первую очередь за возможность развертывать в сетях жертв listeners. Они используются  для мониторинга того, как зараженные узлы взаимодействуют с управляющими серверами для получения пейлоадов и дальнейших команд от злоумышленников.

«Сила Cobalt Strike заключается в том, что он предлагает множество ответов на сложные вопросы, которые могут возникнуть у злоумышленника. Развернуть listeners и beacons? Без проблем. Нужен шелл-код? Легко. Необходимо создавать поэтапные/бесэтапные исполняемые файлы? Готово. Учитывая универсальность Cobalt Strike, его популярность неудивительна. Злоумышленники все больше полагаются в работе на Cobalt Strike, а не на массовое вредоносное ПО», — говорят исследователи Cisco Talos.

В своем отчете эксперты пишут, что проанализировали структуру атак с использованием фреймворка Cobalt Strike и разработали около 50 сигнатур для Snort и опенсорсного антивирусного движка ClamAV.

1 комментарий

  1. Аватар

    crypby

    01.10.2020 в 21:35

    Ссылка на отчёт Тalos мертва.

    AccessDenied
    Request has expired
    3600
    2020-09-25T12:52:04Z
    2020-10-01T12:34:40Z
    xxx

    xxx+y6Rl1EXQWrq4hw/0zEhb6KxCfT68n91P0u6E=

Оставить мнение