Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 23 Novembre 2022 16:49
Google Cloud Threat Intelligence ha annunciato il rilascio delle regole YARA, nonché una raccolta di indicatori di compromissione VirusTotal, che dovrebbero facilitare rilevare le componenti Cobalt Strike malevole.
Cobalt Strike è uno strumento commerciale legittimo creato per attività di Penetrtion Test/Red Team ed è incentrato sulla fase di post-sfruttamento.
Probabilmente è ben noto alla maggior parte dei lettori, che Cobalt Strike è stato a lungo amato dai criminali informatici, dai gruppi APT governativi fino ad arrivare agli operatori di ransomware.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Sebbene non sia disponibile per gli utenti ordinari e la versione completa costi diverse migliaia di dollari per l’installazione, gli aggressori trovano ancora modi per usarlo (ad esempio, fare affidamento su versioni vecchie, piratate, compromesse e non registrate).
“Stiamo rilasciando un set di regole YARA open source e la sua integrazione come raccolta VirusTotal alla comunità per aiutare tutti a rilevare e identificare i componenti di Cobalt Strike e le rispettive versioni”
Ha scritto Greg Sinclair, Google Cloud Threat Intelligence Security Engineer.
“Abbiamo deciso che trovare la versione esatta di Cobalt Strike è un aspetto importante per determinare la legalità del suo utilizzo, poiché è noto che alcune versioni vengono utilizzate in modo improprio dagli aggressori”.
Come spiegato da Google, le varianti hackerate e “trapelate” di Cobalt Strike nella maggior parte dei casi sono indietro di almeno una versione, che ha permesso all’azienda di raccogliere centinaia di stager, template e campioni di beacon utilizzati dagli hacker, e sulla base di essi creare le regole YARA.
Gli esperti hanno scoperto i file JAR di Cobalt Strike dalla versione 1.44 (rilasciata intorno al 2012) alla versione 4.7, quindi hanno utilizzato i componenti per creare regole YARA.
Secondo gli esperti, ogni versione di Cobalt Strike contiene da 10 a 100 file binari di modelli di attacco. Sono riusciti a trovare 34 diverse versioni di Cobalt Strike con 275 file JAR unici. In totale, sono stati studiati più di 340 file binari, per i quali sono state create le firme di rilevamento.
“Il nostro obiettivo era rendere il rilevamento estremamente accurato in modo che la versione esatta di Cobalt Strike potesse essere identificata con sicurezza. Quando ciò è diventato possibile, abbiamo creato firme per rilevare versioni specifiche dei componenti di Cobalt Strike “
Ha affermato Google.
RedazioneIl ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...
Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...
Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha...
Ogni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati comp...
La pseudonimizzazione è una tecnica di protezione dei dati definita dall’art. 4(5) del GDPR. Consiste nella trasformazione dei dati personali in modo tale che non possano più essere a...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
