Cobalt Strike: Der neue Favorit unter den Dieben

Seit 2012 wird Cobalt Strike als proaktiver Weg zum Testen der Netzwerkverteidigung gegen Tools, Taktiken und Verfahren (TTPs) fortgeschrittener Bedrohungsakteure eingesetzt. Das Ziel besteht natürlich darin, die bösartigsten Bedrohungsakteure und ihre Techniken zu imitieren, um Ihre Sicherheitslage zu testen und Reaktionsverfahren zu üben. Leider können Tools und Wissen, die Sicherheitsteams helfen sollen, auch von Kriminellen böswillig genutzt werden, wie dies bei den meisten Dingen im Sicherheitsbereich der Fall ist.

Auch wenn dies in manchen Kreisen umstritten ist, sind offensive Sicherheitsforschung und offensive Simulationswerkzeuge wie Cobalt Strike meiner Meinung nach ein Gewinn für die Sicherheitsgemeinschaft. Ein Tool wie Cobalt Strike simuliert einfach Taktiken und Techniken, die bereits von Hackern in freier Wildbahn eingesetzt werden. Sicherheitsteams brauchen Zugang zu diesen Tools, um sie testen zu können.

In der Vergangenheit waren Penetrationstests und Simulationssoftware bei kompetenten Cyberkriminellen nicht sehr beliebt, da sie allgegenwärtig und den Verteidigern vertraut waren - Hacker verließen sich in der Regel auf Dark-Web-Exploit-Kits wie Angler und Blackhole. Dies hat sich in den letzten Jahren aus zwei Gründen geändert:

1. Die Verfügbarkeit stabiler Exploit-Kits im Dark Web hat sich aufgrund von Maßnahmen der Strafverfolgungsbehörden gegen die Entwickler dieser Exploit-Kits drastisch verringert.
2. Cobalt Strike ist gut geworden, sehr gut.

Cobalt Strike - Das Schweizer Armee-Hacker-Framework

In den letzten zwei Jahren ist es böswilligen Akteuren gelungen, Vollversionen von Cobalt Strike zu knacken und diese auf Dark-Web-Marktplätzen und in Foren weitreichend verfügbar zu machen. So wurde beispielsweise am 22. März 2020 die neueste Version des Tools geknackt und Hackern zur Verfügung gestellt. Wir haben beobachtet, dass es in großem Umfang dazu genutzt wird, in Netzwerke einzudringen und sich dort lateral zu bewegen; je nachdem, welchen Wert die Daten eines bestimmten Unternehmens haben, wird Ransomware eingesetzt. Datto hat seit Anfang 2019 bis heute einen stetigen Aufwärtstrend bei der Nutzung dieser geknackten Version als primäre Methode durch Angreifer festgestellt.

Cobalt Strike ist ein Favorit, weil es stabil und äußerst flexibel ist. Es kann für die Bereitstellung aller Arten von Nutzdaten, wie Ransomware oder Keylogger, für das kompromittierte Netzwerk verwendet werden. Es ist gut organisiert und bietet einen Rahmen für die Verwaltung kompromittierter Ressourcen. Im Grunde hilft dieses Tool den Hackern der "B-Liste", sich wie Hacker der "A-Liste" zu verhalten.

Obwohl der Autor von Cobalt Strike zahlreiche Schutz- und Lizenzierungsmechanismen implementiert hat, um zu verhindern, dass der Code in falsche Hände gerät, scheinen die geknackten Versionen das gesamte Framework der Lösung zu nutzen. Das bedeutet, dass Bedrohungsakteure Zugang zu Netzwerken haben und in der Lage sind, sich innerhalb des Netzwerks zu drehen und zu bewegen. Implantate, so genannte "Beacons", unterstützen diese seitliche Bewegung von System zu System, ohne dass eine Verbindung zum Internet besteht. Nur einer dieser Beacons muss tatsächlich eine Verbindung zum Internet herstellen (der "Beachhead"), was seine Entdeckung auf der Netzwerkebene erschwert.

Eine Funktion namens "Maleable C2" ermöglicht es Hackern, ihre Netzwerksignatur relativ einfach zu ändern, während Maleable PE die gleiche heimliche Flexibilität bei den Implantaten ermöglicht, die in Systemprozesse injiziert werden.

Cobalt Strike nutzt auch die moderne Staged Delivery. Sobald sie im Netzwerk sind, werden zahlreiche Schritte ausgelöst, um Zugang zum Netzwerk zu erhalten und die endgültige Agenda des Hackers auszuführen. Im Wesentlichen wird eine Stufe ausgelöst, dann folgt die nächste Stufe. Was die Entdeckung erschwert, ist die Tatsache, dass jede Phase einfach ist und sogar aus einer einzigen Codezeile bestehen kann. Für sich genommen sieht eine einzelne Phase vielleicht nicht bösartig aus oder löst keinen Alarm aus. Noch schlimmer ist, dass, wenn die letzte Stufe erreicht ist, die früheren Stufen verschwinden und nichts auf der Festplatte zurückbleibt.

Seitliche Bewegung ist ein wichtiger Bestandteil von Cobalt Strike. Die seitlich kommunizierenden Beacons ermöglichen es dem Angreifer, sich in wertvollere Teile des Netzwerks einzuschleichen. Das Ziel ist oft, einen Domänenadministrator zu finden und dessen Konto zu übernehmen. Über dieses Konto können sie die Domänencontroller anweisen, vor der Ausführung Ransomware im gesamten Netzwerk zu platzieren - diese Technik lässt Verteidigern fast keine Zeit zu reagieren, sobald der endgültige Auslöser initiiert wird.

Datto hat beobachtet, dass diese Methode vom ersten Eindringen bis zur Ausführung der Lösegeldforderung einige Stunden oder bis zu zwei volle Wochen dauern kann.

Ein Lösegeld stoppen, bevor es gefordert wird

In einem Fall hatte das Datto-Supportteam mit einem großen Gesundheitsdienstleister zu tun, der einen seltsamen Alarm untersuchte. Ihre Antiviren- und anderen Erkennungstools haben alles übersehen, aber ihre Anwendungskontrolle hat glücklicherweise eine der Ransomware-Stufen davon abgehalten, etwas aus einem temporären Ordner auszuführen (dies stellte sich als der Ransomware-Verschlüsseler heraus, der für einen frühen Sonntagmorgen geplant war). Datto wurde eingesetzt, um diese Warnungen zu untersuchen und das Netzwerk auf weitere Anzeichen einer Gefährdung zu überprüfen. Innerhalb der ersten Stunde nach der Bereitstellung haben wir Folgendes gefunden:

1. Speicherresidente Cobalt Strike Beacons auf drei ihrer wichtigen Server
2. Bösartige Powershell-Befehle, die zusätzliche Malware von einer IP-Adresse in Los Angeles herunterladen
3. Bei dem kompromittierten Konto, das ausgenutzt wurde, handelte es sich um das Konto eines Benutzers, dem übermäßig weitreichende Administratorrechte für das Netzwerk zugewiesen worden waren.
4. Der Ransomware-Loader (technisch gesehen eine nicht bösartige Datei) wurde auf Tausenden von Workstations, Servern und medizinischen Geräten installiert.

Auf der Grundlage des Scopings des Vorfalls mit Hilfe von Triage-Daten und Schlussfolgerungen empfahl unser Support-Team sofortige Maßnahmen, um den bösartigen Akteur aus dem Netzwerk zu entfernen:

1. IP-Sperren wurden an der Firewall für die von Datto gefundene Adresse vorgenommen
2. Das Konto des kompromittierten Benutzers wurde deaktiviert
3. Die mit Cobalt Strike Beacons infizierten Server wurden neu gestartet, um ihren Speicherplatz zu leeren, und es wurden Validierungsscans durchgeführt, um sicherzustellen, dass keine Persistenz verbleibt. (Datto verfügt über eine Schaltfläche für diesen Vorgang)
4. Wir haben die Ransomware-Loader und andere Artefakte von jedem System im Netzwerk entfernt
5. Alle Domänenadministratoren haben ihr Passwort zurückgesetzt
6. Nach diesen ersten Eindämmungsmaßnahmen beauftragte das Unternehmen einen Datto-Partner mit der vollständigen Untersuchung und den restlichen Bereinigungsmaßnahmen.

Durch diese schnellen Maßnahmen der IT- und Sicherheitsteams der Organisation, die von Datto unterstützt wurden, konnte der Eindringling beseitigt, die weitere Ausbreitung von Cobalt Strike gestoppt und ein laufender zweiter Versuch, diesen wichtigen Gesundheitsdienstleister auszusperren und Lösegeld zu fordern, verhindert werden. Diese Maßnahmen, von der Sichtung bis zur Eindämmung, erfolgten noch am selben Abend. Ohne eine Erkennungs- und Reaktionsfähigkeit und Unterstützung hätte die Geschichte ganz anders verlaufen können.

Unterstützung bei der ersten Reaktion ist am wichtigsten

Die meisten Unternehmen verwenden einen Großteil ihrer Zeit und Ressourcen darauf, Kontrollen und Schutzmaßnahmen einzurichten, um solche Angriffe zu verhindern. Wenn solche Kontrollen versagen, sind Erkennungs- und Reaktionsfähigkeiten in der ERSTEN STUNDE unerlässlich, wenn Sie einen Angriff wie bei diesem Gesundheitsdienstleister abwehren wollen. Allzu oft erleben wir, dass Unternehmen in der ersten Stunde straucheln, weil sie den Umfang und die Schwere eines Angriffs nicht erkennen (mangelnde Transparenz) und nicht wissen, was als Erstes getan werden muss (mangelnde Erfahrung und Praxis bei der Reaktion).

Abschließende Beratung

Aufgrund der Taktiken und Vorgehensweisen, die wir bei den jüngsten Ransomware-Fällen beobachtet haben, empfehlen wir: Sollte Ihr Team auf Ransomware stoßen, sollten sich die Behebung und die Reaktion nicht auf die Ransomware beschränken. Es ist sehr wahrscheinlich, dass sich in Ihrem Netzwerk versteckte Beacons befinden, die übersehen wurden: Sie verbergen sich im Arbeitsspeicher. Selbst wenn Ihr Endgeräteschutz die Ransomware stoppt, könnte sich der Täter immer noch im System befinden und über Zugriffsrechte verfügen, um es erneut zu versuchen. Eine umfassende Einstufung und Erfassung des Vorfalls ist für die Eindämmung unerlässlich: Sie benötigen einen Partner wie Datto und ein Team, das Sie dabei unterstützt, sicherzustellen, dass der gesamte Schadcode beseitigt wird.

Wenn Sie mehr erfahren möchten, wenden Sie sich bitte an unser Vertriebsteam oder fordern Sie eine Demo an.