Конфигурации Cobalt Strike помогают связывать Beacon с инфраструктурой

Библиотека на Python и набор скриптов Cobalt Strike Configuration Extractor (CSCE) позволяют анализировать бинарные полезные нагрузки Beacon, в том числе восстановленные из памяти процессов, и выявлять поля конфигурации для идентификации особенностей управления Beacon и сопоставления связанных действий.

Поле publickey используется сервером Team Server Cobalt Strike для шифрования связи с Beacon. В отличие от стандартного сертификата TLS, который предъявляет веб-сервер, открытый ключ встроен в конфигурацию Beacon. Один и тот же ключ повторно используется для всех Beacon, сгенерированных одним сервером Team Server. Его можно использовать для кластеризации полезных нагрузок и инфраструктуры, а потенциально и нескольких кампаний, проведённых через один сервер.

Поле process-inject.stub содержит закодированный в Base64 MD5-хеш архива Java Cobalt Strike, использованного для генерации Beacon. Декодирование значения дало MD5-хеш 222b8f27dbdfba8ddd559eeca27ea648, которому соответствовал SHA256-хеш 7af9c759ac78da920395debb443b9007fdf51fa66a48f0fbdaafb30b00a8a858. По этим данным архив идентифицировали как относящийся к Cobalt Strike версии 4.4. Конфигурационные данные также могут содержать водяной знак Cobalt Strike и сетевые индикаторы, включая домены и IP-адреса.

Описанный процесс сбора данных поддерживает автоматизированное извлечение полезных нагрузок, конфигураций и метаданных Beacon в больших масштабах. Эти артефакты можно использовать для идентификации общей инфраструктуры управления, установления связей между кампаниями и отслеживания повторяющихся возможностей злоумышленников. В качестве индикаторов компрометации приведены:

• домен clevelandclinic.cloud;
• IP-адреса 104.197.142.19 и 192.64.119.19;
• SHA256-хеши полезных нагрузок Beacon: 697fddfc5195828777622236f2b133c0a24a6d0dc539ae7da41798c4456a3f89, 7475a6c08fa90e7af36fd7aa76be6e06b9e887bc0a6501914688a87a43ac7ac4 и f9b38c422a89d73ebdab7c142c8920690ee3a746fc4eea9175d745183c946fc5.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.