搜索

[6749] 2020-06-03_红蓝对抗——「CobaltStrike」应用攻击手段实例分析

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-17
2020-06-03_红蓝对抗——「CobaltStrike」应用攻击手段实例分析 红 蓝 对 抗 — — 「 C o b a l t S t r i k e 」 应 用 攻 击 手 段 实 例 分 析 E 安 全   2 0 2 0 - 0 6 - 0 3 以 下 文 章 来 源 于 安 恒 信 息   ， 作 者 猎 影 实 验 室 上 期 回 顾 上 期 回 顾 上 期 回 顾 上 期 回 顾 上 期 回 顾 上 期 回 顾 上 期 回 顾 上 期 回 顾 伪 装 和 钓 鱼 是 A P T 攻 击 常 态 化 的 手 段 ， 在 许 多 情 形 下 攻 击 者 通 过 鱼 叉 式 钓 鱼 邮 件 完 成 攻 击 手 段 ， 在 这 就 不 得 不 提 及 伪 装 的 技 法 — — 「 钓 鱼 伪 装 」 ， 目 的 就 是 为 了 让 邮 件 或 页 面 看 上 去 像 正 常 内 容 ， 降 低 目 标 的 防 范 意 识 。 具 体 详 细 内 容 点 击 查 看 ： 红 蓝 对 抗 — — 「 钓 鱼 伪 装 」 攻 击 手 段 实 例 分 析 本 期 为 第 四 期 ， 猎 影 实 验 室 将 就 C o b a l t S t r i k e 在 红 蓝 对 抗 中 的 应 用 展 开 叙 述 。 C o b a l t S t r i k e 简 介 简 介 C o b a l t S t r i k e 简 介 简 介 C o b a l t S t r i k e 简 介 简 介 C o b a l t S t r i k e 简 介 简 介 安 恒 信 息 安 恒 信 息   . 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 （ D B A P P S e c u r i t y ） ， 科 创 板 ： 6 8 8 0 2 3 ， 全 球 网 络 安 全 创 新 5 0 0 强 。 以 自 主 可 控 的 专 利 技 术 ， 提 供 W e b 应 用 安 全 、 数 据 库 安 全 、 网 站 安 全 监 测 产 品 与 服 务 、 态 势 感 知 大 数 据 中 心 及 智 慧 城 市 云 安 全 运 营 整 体 解 决 方 案 。
C o b a l t   S t r i k e 是 熟 知 的 渗 透 测 试 利 器 渗 透 测 试 利 器 ， 功 能 十 分 强 大 ， 可 扩 展 性 强 ， 从 前 期 载 荷 生 成 、 诱 饵 捆 绑 、 钓 鱼 攻 击 到 载 荷 植 入 目 标 成 功 后 的 持 续 控 制 、 后 渗 透 阶 段 都 可 以 很 好 支 持 ， 几 乎 覆 盖 攻 击 链 的 各 个 阶 段 。 并 且 支 持 多 种 上 线 方 式 ， 以 及 多 种 丰 富 的 配 置 可 以 达 到 非 常 好 的 隐 蔽 效 果 。 C S   t e a m s e r v e r 团 队 服 务 器 又 可 以 使 众 多 C S 客 户 端 连 上 它 ， 以 进 行 团 队 协 作 。 如 此 优 秀 的 渗 透 测 试 框 架 渗 透 测 试 框 架 自 然 得 到 了 众 多 黑 客 和 A P T 组 织 的 青 睐 ， 纷 纷 应 用 到 真 实 攻 击 活 动 中 。 通 过 安 恒 安 恒 S u m a p 全 球 网 络 空 间 超 级 雷 达 对 C S 指 纹 进 行 探 测 ， 在 不 完 全 统 计 的 情 况 下 就 已 发 现 上 千 台 活 跃 的 C 2 服 务 器 。 其 中 还 包 含 了 些 许 C S 服 务 器 的 I P v 6 资 产 资 产 ， 分 布 于 中 国 、 美 国 、 俄 罗 斯 、 德 国 、 日 本 、 新 加 坡 等 地 。 C o b a l t S t r i k e 在 红 蓝 对 抗 中 的 应 用 在 红 蓝 对 抗 中 的 应 用 C o b a l t S t r i k e 在 红 蓝 对 抗 中 的 应 用 在 红 蓝 对 抗 中 的 应 用 C o b a l t S t r i k e 在 红 蓝 对 抗 中 的 应 用 在 红 蓝 对 抗 中 的 应 用 C o b a l t S t r i k e 在 红 蓝 对 抗 中 的 应 用 在 红 蓝 对 抗 中 的 应 用 在 捕 获 的 多 方 红 蓝 对 抗 样 本 中 ， 最 终 载 荷 几 乎 都 用 到 了 C o b a l t S t r i k e 。 1 .   M a l l e a b l e   C 2 应 用 应 用 其 中 C o b a l t   S t r i k e   M a l l e a b l e   C 2 是 不 得 不 提 的 点 ， M a l l e a b l e   C 2 即 为 “ 可 定 制 可 定 制 ” 的 C 2 ， 可 以 通 过 配 置 文 件 ， 来 修 改 C S   b e a c o n 和 C 2 的 流 量 和 行 为 特 征 。 通 过 配 置 的 修 改 通 过 配 置 的 修 改 ， 可 以 使 C 2 流 量 混 合 在 目 标 环 境 流 量 中 ， 伪 装 为 正 常 应 用 流 量 ， 达 到 欺 骗 的 作 用 。 如 ： 通 过 构 造 配 置 将 流 量 伪 装 为 B i n g 流 量
经 配 置 后 B e a c o n 的 会 话 元 数 据 通 过 编 码 放 在 了 b i n g 搜 索 字 段 中 ， 并 且 H o s t 和 U s e r - A g e n t 等 内 容 也 经 过 了 伪 装 修 改 。 在 红 蓝 对 抗 样 本 中 也 碰 到 了 多 个 样 本 对 M a l l e a b l e   C 2 的 使 用 ， 如 将 H o s t 修 改 为 m i c r o s o f t 相 关 的 常 见 域 名 ， R e f e r e r 倒 是 用 了 公 开 参 考 的 配 置 文 件 里 的 一 些 默 认 配 置 ， 对 j q u e r y 有 一 定 的 偏 好 。
并 且 使 用 了 B e a c o n   S t a g e r   P a y l o a d ， 在 S t a g e r 配 置 项 中 使 用 j q u e r y - 3 . 3 . 2 . s l i m . m i n . j s 这 类 的 请 求 访 问 ， 并 结 合 高 度 伪 装 的 域 名 ， 达 到 高 度 伪 装 高 度 伪 装 。 样 本 中 也 存 在 S t a g e l e s s 对 j q u e r y 形 式 的 伪 装 情 形 。 2 .   B e a c o n 的 编 码 处 理 的 编 码 处 理
在 网 络 中 直 接 请 求 下 载 一 个 未 特 殊 处 理 的 B e a c o n 比 较 容 易 被 设 备 察 觉 容 易 被 设 备 察 觉 ， 使 用 的 B e a c o n 本 身 可 能 存 在 一 些 特 征 可 被 检 测 ， 可 以 通 过 一 些 方 法 进 行 对 抗 。 在 捕 获 的 样 本 中 就 存 在 D o w n l o a d e r 下 载 经 过 编 码 的 页 面 内 容 ， 再 解 密 执 行 。 如 捕 获 到 的 一 类 样 本 会 进 行 多 阶 段 下 载 ， 其 中 会 调 用 一 个 C #   D o w n l o a d e r ， 访 问 远 程 链 接 下 载 执 行 。 远 程 内 容 经 过 编 码 。 获 取 字 符 串 内 容 后 通 过 b a s e 6 4 和 g z i p 进 行 还 原 ， 并 加 载 执 行 。
载 荷 为 C o b a l t S t r i k e 。 3 .   暴 露 的 暴 露 的 C S 服 务 器 服 务 器 除 了 通 过 样 本 特 征 样 本 特 征 和 流 量 特 征 流 量 特 征 可 以 辨 识 出 C o b a l t S t r i k e 外 ， C o b a l t S t r i k e 服 务 器 还 有 一 些 指 纹 特 性 ， 如 使 用 默 认 h t t p s 证 书 、 特 殊
字 符 信 息 、 T e a m s e r v e r 默 认 端 口 5 0 0 5 0 等 。 在 多 个 捕 获 的 红 蓝 对 抗 样 本 的 回 连 服 务 器 中 就 命 中 了 S u m a p 全 球 网 络 空 间 超 级 雷 达 的 情 报 探 测 结 果 。 S u m a p 产 出 资 产 情 报 有 效 赋 能 于 威 胁 情 报 中 心 平 台 ， 使 平 台 更 好 的 服 务 于 红 蓝 对 抗 实 战 。 如 何 防 御 如 何 防 御 如 何 防 御 如 何 防 御 如 何 防 御 如 何 防 御 如 何 防 御 如 何 防 御 安 恒 安 恒 A P T 预 警 平 台 预 警 平 台 ， 安 恒 A P T 预 警 平 台 能 够 发 现 已 知 或 未 知 的 威 胁 ， A P T 预 警 平 台 的 实 时 监 控 能 力 能 够 捕 获 并 分 析 邮 件 附 件 投 实 时 监 控 能 力 能 够 捕 获 并 分 析 邮 件 附 件 投 递 文 档 或 程 序 的 威 胁 性 递 文 档 或 程 序 的 威 胁 性 ， 并 能 够 对 邮 件 投 递 ， 漏 洞 利 用 、 安 装 植 入 、 回 连 控 制 等 各 个 阶 段 做 强 有 力 的 监 测 。 结 合 安 恒 威 胁 情 报 系 统 ， 可 将 国 内 外 的 威 胁 数 据 进 行 汇 总 ， 并 分 析 整 个 攻 击 演 进 和 联 合 预 警 。 安 恒 威 胁 情 报 中 心 安 恒 威 胁 情 报 中 心 ， 拥 有 专 业 威 胁 情 报 分 析 团 队 ， 分 析 安 全 威 胁 数 据 、 跟 踪 A P T 事 件 ， 以 及 多 源 情 报 数 据 的 分 析 ， 形 成 了 高 价 值 的 威 胁 情 况 库 。 分 析 的 情 报 包 括 恶 意 文 件 、 僵 尸 网 络 、 C 2 、 扫 描 I P 、 黑 产 I P 、 挖 矿 等 6 0 余 类 情 报 数 据 等 。 通 过 提 供 威 胁 情 报 提 供 威 胁 情 报 数 据 与 服 务 数 据 与 服 务 ， 可 为 用 户 提 升 区 域 安 全 态 势 感 知 、 未 知 威 胁 检 测 、 威 胁 溯 源 分 析 、 主 动 防 御 等 场 景 的 智 能 化 程 度 ； 依 托 该 核 心 数 据 能 力 ， 提 供 威 胁 情 报 数 据 ， 威 胁 情 报 检 测 等 专 业 能 力 。 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ：
“ 美 式 双 标 ” 造 成 美 国 暴 力 骚 乱 升 级 ！ 城 市 网 络 系 统 因 黑 客 攻 击 而 瘫 痪 英 国 廉 价 航 空 公 司 e a s y J e t 数 据 泄 露   将 面 临 1 8 0 亿 英 镑 巨 额 诉 讼 E 课 堂   |   记 住 这 八 大 防 骗 技 巧 ！ “ 人 人 都 是 安 全 官 ” 活 动 进 社 区 所 有 i P h o n e 设 备 都 可 能 被 解 锁 ！ 黑 客 发 布 新 款 越 狱 软 件 “ U n c 0 v e r ” 征 集   |   2 0 2 0 世 界 信 息 安 全 大 会 议 题 征 集 全 面 开 启 ！ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理