Nov 25, 2022 Dario Orlandi Attacchi, Intrusione, Minacce, News 0

Attraverso il suo Cloud Threat Intelligence team, ha portato un contributo significativo alla protezione contro gli attacchi basati su Cobalt Strike.

I ricercatori hanno infatti distribuito con la formula open source un set di 165 regole Yara e la relativa collezione VirusTotal per individuare i componenti e le versioni di Cobalt Strike eventualmente presenti e attivi nella rete.

Greg Sinclair, Security Engineer del team Google Cloud Threat Intelligence, ha dichiarato: “Abbiamo deciso che rilevare la versione esatta di Cobalt Strike era un elemento importante per determinare la legittimità del suo uso da parte di attori non malintenzionati”.

Il modello dell’infrastruttura di Cobalt Strike (Fonte: Google)

L’importanza della versione

Le nuove regole, infatti, rendono molto più semplice l’individuazione di eventuali attività pericolose: riconoscere le versioni non aggiornate di Cobalt Strike (spesso ottenute per canali non ufficiali) è molto utile per distinguere tra le operazioni legittime e gli attacchi.

Come ha sottolineato Google, nella maggior parte dei casi le versioni non ufficiali di Cobalt Strike rimangono indietro di almeno una release rispetto a quelle legittime, e questo ha consentito di raccogliere moltissime informazioni utili alla costruzione di regole di rilevamento estremamente accurate.

Sinclair ha aggiunto: “Il nostro obiettivo era quello di effettuare rilevamenti molto precisi per consentire di individuare la versione esatta di particolari componenti Cobalt Strike. Quando possibile, abbiamo creato firme per rilevare versioni specifiche di ciascun componente”.

Google ha anche reso disponibile anche un set di firme di rilevamento per Sliver, un framework di emulazione legittimo e open source progettato per i test di sicurezza, che è stato utilizzato anche da attori malintenzionati come alternativa a Cobalt Strike.