"Cobalt_Strike检测方法与去特征的思考"
Cobalt Strike是一款广泛应用于红队操作和渗透测试的工具,同时也被恶意黑客利用。这篇文章探讨了针对Cobalt Strike的检测策略以及如何去除其特征以逃避检测。文章指出,尽管网络上存在很多关于修改Cobalt Strike特征值的建议,但这些方法可能存在误导,因为它们往往只关注部分特征,而忽略了其他关键点。
首先,检测Cobalt Strike的方式多种多样,包括分析样本、追踪回连行为、黑客活动监控以及网络扫描。其中,网络扫描是最常见的发现Cobalt Strike服务器的方法。由于Cobalt Strike的默认SSL/TLS证书是固定的,这成为了识别其服务器的一个显著特征。这个证书的组织名(O)为“cobaltstrike”,组织单位(OU)为“AdvancedPenTesting”,通用名称(CN)为“MajorCobaltStrike”。
然而,文章提醒读者,仅修改这个证书并不足以隐藏Cobalt Strike的存在。修改的证书是用于teamserver主控端的加密,其监听默认端口50050。在网络安全社区,比如fofa.so,可以利用这些特征来构建搜索规则,如“protocol==‘cobaltstrike’”或“cert=‘MajorCobaltStrike’”。但是,这种方法可能会漏掉一些未被标记为Cobalt Strike服务器的主机。
值得注意的是,当Cobalt Strike的beacon(代理)通过HTTPS上线时,它使用的是另一个默认证书,这个证书不在之前的修改范围内。因此,要改变这个证书,需要编辑Malleable C2 profile,这是一个自定义C2通信配置的文件。官方文档(https://www.cobaltstrike.com/docs/malleable-c2/)提供了详细的信息,帮助用户调整通信行为以避免检测。
Cobalt Strike的检测和反检测是一个复杂的领域,涉及多个层面。仅修改默认SSL/TLS证书不足以掩盖其痕迹,还需要对整个通信链路进行深度定制,包括但不限于Malleable C2 profile的调整。网络安全专家和防御者必须保持警惕,不断更新检测策略,以应对日益复杂的攻击手段。