Gli esperti si Uniscono per Combattere l’Abuso di Cobalt Strike. Pubblicate regole Yara e IoC

Redazione RHC : 11 Aprile 2023 16:00

I rappresentanti di Microsoft, Health-ISAC e Fortra, la società dietro lo sviluppo di Cobalt Strike, si opporranno all’abuso di questo strumento da parte dei pentester. Cobalt Strike è uno strumento commerciale legittimo rivolto a pentester e red team, creato per lo sfruttamento e il post-sfruttamento. 

Probabilmente è ben noto alla maggior parte dei lettori, ma, sfortunatamente, Cobalt Strike è stato a lungo amato ai criminali informatici e dai gruppi APT governativi oltre agli operatori di ransomware. Sebbene non sia disponibile per gli utenti ordinari e la versione completa costi diverse migliaia di dollari per l’installazione, gli aggressori trovano ancora modi per usarlo (ad esempio, fare affidamento su versioni vecchie, piratate, compromesse e non registrate).

Venerdì scorso, 31 marzo 2023, il tribunale del distretto orientale di New York ha emesso un’ordinanza che consente a Microsoft e Fortra di confiscare i nomi di dominio e gli indirizzi IP dei server che ospitano versioni compromesse di Cobalt Strike. Tali azioni dovrebbero essere eseguite con l’assistenza di specialisti CERT e fornitori di servizi Internet e il loro obiettivo finale è disabilitare le infrastrutture dannose.

È stato inoltre riferito che Microsoft e i suoi partner stanno lavorando con l’unità informatica dell’FBI, il National Joint Cyber ​​Threat Investigation Team (NCIJTF) e l’European Cybercrime Center (EC3) di Europol.

“Dovremo essere persistenti per distruggere le copie compromesse e obsolete di Cobalt Strike distribuite in tutto il mondo”, ha affermato Amy Hogan-Burney, responsabile del crimine digitale presso Microsoft (DCU). 

“Questo è un passo importante per Fortra per proteggere l’uso legittimo dei suoi strumenti di sicurezza… Interrompere il funzionamento di copie crackate e obsolete di Cobalt Strike renderà molto più difficile monetizzare tali copie illegali e utilizzarle in attacchi informatici, costringendo i criminali a riconsiderare e cambiare tattica”.

È stato inoltre riferito che, nell’ambito di questa iniziativa, verranno presentate denunce di violazione del copyright e abuso per il software Microsoft e Fortra che è stato modificato e utilizzato per causare danni.

I membri dell’iniziativa hanno compilato una mappa che mostra l’uso di copie hackerate di Cobalt Strike in tutto il mondo.

I ricercatori affermano di stare osservando l’abuso dello strumento da parte di numerosi gruppi di criminali informatici in Russia, Cina, Vietnam e Iran. Ad esempio, si dice che Cobalt Strike sia stato utilizzato in più di 68 attacchi ransomware mirati al settore sanitario in oltre 19 paesi.

“Fortra spende risorse significative in ricercatori, infrastrutture e processi legali per combattere queste minacce, nonché per migliorare ogni versione del prodotto per rendere più difficile l’abuso da parte dei criminali”, ha affermato Bob Erdman, vicepresidente di Fortra, e assicura che ora sarà più facile affrontare l’uso illegale di Cobalt Strike.

Va notato che alla fine del 2022, anche gli specialisti di Google Cloud Threat Intelligence hanno iniziato a combattere le copie compromesse di Cobalt Strike e i malintenzionati che ne fanno uso. Quindi gli esperti hanno annunciato il rilascio delle regole YARA, nonché una raccolta di indicatori di compromissione per VirusTotal, che dovrebbero rendere più facile per i difensori rilevare i componenti Cobalt Strike nelle loro reti.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.