Google identifica 34 versiones crackeadas de Cobalt Strike

Google Cloud reveló la semana pasada que identificó 34 versiones crackeadas diferentes de la herramienta Cobalt Strike. Las versiones, que van de la 1.44 a la 4.7, suman un total de 275 archivos JAR únicos, según los hallazgos del equipo de Google Cloud Threat Intelligence (GCTI). La última versión de Cobalt Strike es la versión 4.7.2.

Cobalt Strike, desarrollado por Fortra (ahora HelpSystems), es un popular framework ofensivo que es utilizado por los Red Teams para simular escenarios de ataque y probar la resiliencia de sus defensas. Cobalt Strike ha visto muchas iteraciones y mejoras en la última década. Lanzado por primera vez en 2012, originalmente fue el derivado comercial del proyecto Armitage de código abierto que agregó una interfaz gráfica de usuario (GUI) a Metasploit, para ayudar a los profesionales de la seguridad a detectar vulnerabilidades de software más rápidamente.

Comprende un Team Server que actúa como el centro de comando y control (C2) para requisar de forma remota los dispositivos infectados y un dispositivo de preparación que está diseñado para entregar una carga útil (llamada Beacon), un implante con todas las funciones que informa al servidor C&C.

Dado su amplio conjunto de características, las versiones no autorizadas del software han sido cada vez más utilizadas como armas por muchos actores de amenazas para avanzar en sus actividades post-explotación.

"Si bien la intención de Cobalt Strike es emular una amenaza cibernética real, los actores maliciosos se han aferrado a sus capacidades y la utilizan como una herramienta robusta para el movimiento lateral en la red de su víctima como parte de su carga de ataque de segunda etapa", dijo Greg Sinclair, especialista en ingeniería inversa de Google.

En un intento por abordar este abuso, GCTI ha lanzado un conjunto de reglas YARA de código abierto para marcar diferentes variantes del software utilizado por grupos de delincuentes.

La idea es "eliminar las versiones malas y dejar intactas las legítimas", dijo Sinclair, y agregó que "nuestra intención es devolver la herramienta al dominio de los equipos rojos legítimos y dificultar el abuso de los malos".

Fuente: THN

Suscríbete a nuestro Boletín