コバルトストライクを検出する方法：人気の商用ポストエクスプロイトツールの内部構造
歴史を振り返ると、善意で発明されたもの（そしておそらく今でも正しい目的で使用されているもの）が、悪意のある者の手に渡ると、本来の目的よりも悪質な目的に利用されてしまう例は数多く存在する。
Cobalt Strike と呼ばれる市販の脅威アクター / 敵対者エミュレーション ソフトウェアはその好例です。 これは、ペネトレーションテスターやレッドチームを支援する目的で2012年に作成されました。その目的は、これらのチームが業務においてより高度な能力を発揮できるよう支援することであり、具体的には、許可されたサイバー攻撃を自社に対して実行したり、コンサルタントとしての役割を担ったりすることを可能にすることであった。ペイロードやエクスプロイトからコマンド＆コントロールまで、あらゆる機能を備えているため、コミュニティで急速に人気を集めた。これにより、レッドチームは、コバルトストライク以前には不可能だった、あるいは容易ではなかった、非常に高度で広範囲にわたる攻撃シナリオを実行できるようになった（そして現在も可能になっている）。
Cobalt Strikeの親会社であるHelpSystemsは、自社のウェブサイトで製品の意図と機能について次のように説明しています。「Cobalt Strikeは、ポストエクスプロイトエージェントと隠しチャネルを提供し、顧客のネットワークに静かに長期的に埋め込まれたアクターを模倣します。」Malleable C2を使用すると、ネットワークインジケーターを毎回異なるマルウェアのように見せかけることができます。これらのツールは、Cobalt Strikeの確固たるソーシャルエンジニアリングプロセス、強力なコラボレーション機能、そしてブルーチームのトレーニングを支援するために設計された独自のレポートを補完するものです。」
しかし、コバルトストライクが非常に高度な認可攻撃を行うために使えるならば、さまざまな脅威アクターによる非常に高度な非承認攻撃にも利用可能です。現在、国家支援や金銭的動機を持つさまざまな脅威アクターがCobalt Strikeの能力を活用し、高度なサイバー攻撃を行っています。Cisco Talosのレポート は人気を裏付けており、2020年第4四半期にはランサムウェア攻撃の66%がコバルトストライクを使ったことを確認しました。
Cobalt Strikeがレッドチーム／ペネトレーションテスト市場と犯罪者市場の両方において重要なセールスポイントとなっている点の1つは、その堅牢な回避機能である。検知を非常に難しくするために、開発者はArtifact Kitと可変なC2プロファイルを追加しました。 Artifact Kitを使用すると、Cobalt Strikeのオペレーターは、ツールの既知のシグネチャを回避するために、ペイロードの作成をカスタマイズできます。柔軟なC2プロファイルにより、オペレーターは使用するコマンドおよび制御プロトコルの詳細をカスタマイズできます。
高度な回避機能が組み込まれていてもコバルトストライクを検出できる特徴や様々な方法を詳しく調べるために、Recorded Future Insikt Groupがコバルトストライクを買収し、自ら検出しようと試みました。彼らは、全スペクトル検知 TTPsを用いると、実際には複数の方法とタイミングでコバルトストライクを検出できることを発見しました。
Insikt Groupは、綿密な技術分析を実施してレポートを作成した結果、以下の重要な結論に至った。
- Cobalt Strike 活動を効果的に検知するには、ホスト ベースのモニタリング、ネットワーク ベースのモニタリング、Cobalt Strike C2脅威インテリジェンス識別するための観察インテリジェンストなど、あらゆる範囲の検知が必要です。
- Cobalt Strikeは高度に設定可能ですが、多くのアクターはSSL証明書、ビーコンURL、防御者に検知の機会を提供するプロファイルなどのデフォルト設定を使用しています。
- 高度な 脅威アクター は、Artifact Kit、Malleable C2 Profiles、Resource Kitなどの組み込みツールを用いて、Cobalt Strikeのペイロードを検知回避に最適化します。 検知の機会は、あるコンポーネント 脅威アクター カスタマイズして他のコンポーネントにはデフォルトを残す場合に存在します。
- コバルトストライクの機能と性能に関する公式および第三者による開発が継続されていること、そしてあらゆる主体がその何らかのバージョンを入手できる可能性があることから、コバルトストライクは当面の間、脅威であり続けるだろう。
さらに詳しく知りたい方は、この調査を実施したInsikt Groupアナリストが、近日開催予定のウェビナーで、Cobalt Strikeの歴史、技術仕様、 および 戦略、そして調査方法について解説しますので、ぜひご参加ください。
さらに、レポートの全内容をより詳しくご覧になりたい場合は、こちらから完全版をダウンロードしてください。