Cobalt Strike هي أداة تم تطويرها للهكر الأخلاقي وعمليات الفريق الأحمر ولكن مثل العديد من أدوات الأمن السيبراني الهجومية الأخرى ، فقد وقعت في الأيدي الخطأ (هكر القبعات السوداء).
تجمع منصة هجوم الشبكة القوية هذه بين الهندسة الاجتماعية وأدوات الوصول غير المصرح بها وتشويش نمط الشبكة وآلية متطورة لنشر التعليمات البرمجية الخبيثة القابلة للتنفيذ على الأنظمة المخترقة. يمكن الآن للهكر استخدامه لشن هجمات التهديد المستمر (APT) ضد مؤسستك.
- ما هو الكوبالت سترايك
- ميزات الكوبالت سترايك
- آلية التسليم Cobalt Strike Beacon
- الكشف عن الكوبالت سترايك
- ماهو الفرق بين Cobalt Strike وال Armitage ؟
- أين أتعلم كيفية استخدام Cobalt Strike؟
ما هو الكوبالت سترايك Cobalt Strike؟
Cobalt Strike هي أداة اختبار اختراق مدفوعة بديلة لأداة الارميتاج Armitage، والتي تتيح لمختبري الاختراق وتدقيق الامان الوصول إلى مجموعة كبيرة ومتنوعة من قدرات الهجوم.
يمكن استخدام اداة كوبال سترايك Cobalt Strike لإجراء تصيد بالرمح - spear phishing والحصول على وصول غير مصرح به post exploitation toolkit إلى الأنظمة ، ويمكنه محاكاة مجموعة متنوعة من البرامج الضارة - malicious software وأساليب التهديد المتقدمة الأخرى .
White Cobalt Strike
هي أداة مشروعة يستخدمها القراصنة الأخلاقيون في مجال cyber security، والتي تبلغ تكلفة تراخيص Cobalt Strike الجديدة 3500 دولار لكل مستخدم مقابل ترخيص لمدة عام واحد. تكلفة تجديد التراخيص 2500 دولار لكل مستخدم سنويًا من المبرمج رافائيل مودج. كما أنها تستخدم على نطاق واسع من قبل الجهات الفاعلة في التهديد لشن هجمات حقيقية ضد المنظمات.
يحصل بعض المهاجمين على الإصدار التجريبي من Cobalt Strike ويقومون بكسر المدة التجريبية له ، بينما قد يحصل الآخرون على نسخة تجارية من البرنامج.
ميزات الكوبالت سترايك
الاستطلاع - Reconnaissance يكتشف برنامج العميل الذي يستخدمه هدفك ، مع معلومات الإصدار لتحديد نقاط الضعف المعروفة.
حزم الهجوم - Attack Packages توفر محرك هجوم الهندسة الاجتماعية ، وتقوم بإنشاء أحصنة طروادة كملفات بريئة مثل تطبيقات Java الصغيرة أو مستندات Microsoft Office أو برامج Windows ، وتوفر استنساخًا لموقع الويب website clone لتمكين التنزيلات من drive-by downloads.
التعاون — Collaboration يسمح خادم TeamCobalt لمضيف المجموعة بمشاركة المعلومات مع مجموعة من المهاجمين ، والتواصل في الوقت الفعلي ومشاركة التحكم في الأنظمة المخترقة.
نشر الاستغلال - Post Exploitation يستخدم Beacon ، يمكنها نشر البرامج النصية PowerShell ، وتسجيل ضغطات المفاتيح log keystrokes، والتقاط لقطات شاشة ، وتنزيل الملفات ، وتنفيذ حمولات أخرى execute other payloads.
الاتصالات السرية تمكن المهاجمين من تعديل مؤشرات الشبكة الخاصة بهم بشكل سريع. يجعل من الممكن تحميل ملفات تعريف C2 ، والخروج إلى شبكة باستخدام بروتوكول HTTP أو HTTPS أو DNS أو SMB.
محوري المستعرض — Browser Pivoting يمكن استخدامه للالتفاف حول المصادقة ذات العاملين.
آلية التسليم Cobalt Strike Beacon
تستخدم Cobalt Strike بيكون للحصول على موطئ قدم على شبكة مستهدفة وتنزيل البايلود الضار وتنفيذه. يمكن نقله عبر بروتوكول HTTP أو HTTPS أو DNS أو بروتوكول Windows SMB.
يمكنه إجراء اتصال غير متزامن منخفض المستوى ، بالإضافة إلى اتصال تفاعلي في الوقت الفعلي مع خادم Cobalt Strike.
يمكن لـ Beacon تعديل توقيع الشبكة الخاص بها ، باستخدام ملفات تعريف C2 لتظهر كمهاجم آخر ، أو محاكاة سلوك أنواع مختلفة من البرامج الضارة ، أو التظاهر بأنها حركة مرور مشروعة.
- ينفذ Shell أمرًا عبر cmd.exe
- يقوم التشغيل بتنفيذ أمر بدون cmd.exe وبدون إظهار الإخراج
- يقوم Execute بتشغيل الأمر كعملية في الخلفية
- ينفذ كود PowerShell على الجهاز المخترق
- يقوم بالحقن في العملية بواسطة Psinject بتشغيل PowerShell غير المُدار في عملية محددة وينفذ أوامر cmdlets الخاصة بك في العملية المخترقة
- يقوم Powershell-import باستيراد برنامج PowerShell النصي من مصدر خارجي
- يقوم Execute-Assembly بتشغيل .NET المحلي القابل للتنفيذ كوظيفة ما بعد الاستكشاف
- تحدد Setenv متغير بيئة على الجهاز المخترق
الكشف عن الكوبالت سترايك
قد يكون من الصعب اكتشاف خوادم Cobalt Strike ، لكن الإصدارات القديمة غير المصححة من البرنامج تكون أكثر وضوحًا. يمكنك الجمع بين عدة تقنيات لتحديد Cobalt Strike:
- ابحث عن شهادة TLS الافتراضية من المطور الرسمي. إذا لم يغير المسؤول ذلك ، فهذه علامة أكيدة.
- يتفاعل خادم Cobalt Strike DNS مع الطلبات بعنوان IP زائف (0.0.0.0) إذا كان مشغولاً
- ابحث عن منفذ مفتوح على 50050 / TCP
- قم بإجراء طلب HTTP وابحث عن خطأ 404 Not Found
- على الرغم من أنه لا يزال هناك مجال للخطأ ، إلا أن خلط مجموعة متنوعة من تقنيات الكشف يجب أن يوفر نتائج عالية الثقة. ومع ذلك ، يظل استخدام شهادة TLS الافتراضية هذه الطريقة الأكثر وضوحًا للتعرف على مضيف Cobalt Strike.
- افحص حركة مرور الشبكة المشبوهة وابحث عن تفاوض TLS بين المضيف والخادم البعيد. يمكن استخدام بصمات TLS مثل إصدار البروتوكول والأصفار المعتمدة لتحديد خادم Cobalt Strike. يمكنك استخدام JA3 لإنشاء بصمات عميل SSL.
ماهو الفرق بين Cobalt Strike وال Armitage ؟
هي نسخة مصغرة من Armitage تسهل عليك اسخدام Metasploit تقوم بتطبيق اوامر الميتا بواجهة رسومية بكل بساطه. سهولة الاستخدام والتحكم في الضحايا .سهولة استغلال الثغرات كذلك تنظيم الثغرات وترتيبها
- Anti-virus Evasion
- Auto-exploit Server
- Beacon Payload for Covert Communication
- Browser Pivoting
- Distributed Operations
- DNS Command and Control and Pivoting
- Improved PsExec Workflow
- Listener Management
- Reporting
- Social Engineering Packages
- Smart Applet Attacks
- Spear Phishing
- System Profiler
- VNC Integration
- VPN Pivoting
- Website Clone Tool
- team server
متطلبات التشغيل
- 2 GHz+ processor
- 2 GB RAM
- 500MB+ available disk space
- OpenJDK 11
- Oracle Java 11
- Oracle Java 1.8
- Oracle's Java 1.8 is the best of these supported options.
تعليمات تثبيت OpenJDK
- تحديث APT
sudo apt-get update
- قم بتثبيت OpenJDK 11 مع APT
sudo apt-get install openjdk-11-jdk
- اجعل OpenJDK 11 الافتراضي:
sudo update-java-alternatives -s java-1.11.0-openjdk-amd64
لينكس (أخرى)
- استخراج OpenJDK:
tar zxvf openjdk-11.0.1_linux-x64_bin.tar.gz
- انقل مجلد OpenJDK إلى /usr/local :
mv jdk-11.0.1 /usr/local
- أضف ما يلي إلى ~/.bashrc
JAVA_HOME="/usr/local/jdk-11.0.1"PATH=$PATH:$JAVA_HOME/bin
- قم بتحديث ~/.bashrc لجعل متغيرات البيئة الجديدة نافذة المفعول
source ~/.bashrc
نظام التشغيل MacOS X
- قم بتنزيل OpenJDK لنظام macOS / x64 على: https://jdk.java.net/11/
- افتح Terminal وانتقل إلى التنزيلات / المجلد.
- استخراج الأرشيف:
tar zxvf openjdk-11.0.1_osx-x64_bin.tar.gz
- انقل الأرشيف المستخرج إلى / Library / Java / JavaVirtualMachines / :
sudo mv jdk-11.0.1.jdk/ /Library/Java/JavaVirtualMachines/
sudo ln -fs /Library/Java/JavaVirtualMachines/jdk-11.0.2.jdk /Library/Internet\ Plug-Ins/JavaAppletPlugin.plugin
- استبدل jdk-11.0.2.jdk بمسار Java الخاص بك. سيستخدم إصدار Cobalt Strike التالي Java Application Stub لنظام MacOS X الأكثر مرونة.
تثبيت الجافا في ويندوز
- استخرج الأرشيف إلى c:\program files\jdk-11.0.1
- أضف c:\program files\jdk-11.0.\bin إلى متغير بيئة PATH للمستخدم
- انتقل إلى لوحة التحكم -> النظام -> تغيير الإعدادات -> خيارات متقدمة -> متغيرات البيئة ...
- تمييز المسار في متغيرات المستخدم للمستخدم
- اضغط على تعديل
- اضغط على جديد
- النوع: c:\program files\jdk-11.0.1\ bin
- اضغط على موافق في جميع الحوارات
- Windows XP, Windows 10, Windows 2008 Server, Windows Vista, and Windows 7
- MacOS X 10.6 or above
- Kali Linux
- Ubuntu Linux x86 and x86_64
تحميل كوبالت سترايك مدفوع (Cobalt-Strike cracked versions)
Filename: cobaltstrike-3.12-cracked-master
Size: 60.9 MB
Filename: cobaltstrike-3.14-cracked
Size: 20.6 MB
Filename: cobaltstrike-4.0-cracked
Size: 24.3 MB
Filename: cobaltstrike-4.0-macOS app.rar
Size: 25.3 MB
Filename: cobaltstrike-4.0-original.rar
Size: 24.3 MB
wikikali
أين أتعلم كيفية استخدام Cobalt Strike؟
Red Team Operations مع Cobalt Strike هي دورة مجانية لعمليات الفريق الأحمر ومحاكاة الخصوم. ستوفر هذه الدورة التدريبية الخلفية والمهارات اللازمة لمحاكاة تهديد متقدم و penetration testing باستخدام Cobalt Strike.
شرح ميزات كوبالت سترايك
Application Browser
Artifact Kit
Authorization Files
Beacon
OPSEC Considerations
Beacon Object Files
Browser Pivoting
Credential Manager
Data Model
Downloads
Export Data
External C2
File Browser
Golden Ticket
Host File
HTML Application Attack
Java Signed Applet Attack
Java Smart Applet Attack
Lateral Movement
Listener Management
DNS Beacon
HTTP and HTTPS Beacon
SMB Beacon
TCP Beacon
Malleable Command and Control
Malleable PE, Process Injection, and Post Exploitation
Make Token
MS Word and Excel Macro Attack
Payload Generator
Pivot Listeners
Port Scanner
PowerShell One-liner
Privilege Escalation
Process Browser
Reporting
Resource Kit
Scripted Web Delivery (S)
Scripting
Site Management
SOCKS Proxy Pivoting
Spawn As
Spear Phishing
SSH Sessions
System Profiler
Targets and Services
Unicode Support
Website Clone Tool
VPN Pivoting
Windows EXE Generator
Windows EXE Generator (S)