Cybercriminali ricreano Cobalt Strike su Linux

Una reimplementazione di Cobalt Strike è stata "scritta da zero" per attaccare i sistemi Linux.

Soprannominato Vermilion Strike , Intezer ha dichiarato martedì che la nuova variazione si basa sulla funzionalità Cobalt Strike, incluso il protocollo di comando e controllo (C2), la funzionalità di accesso remoto e la capacità di eseguire istruzioni shell.

Cobalt Strike è uno strumento di test di penetrazione legittimo per i sistemi Windows. Rilasciato nel 2012, lo strumento è stato costantemente abusato da attori delle minacce, inclusi gruppi di minacce persistenti avanzate (APT) come Cozy Bear e campagne progettate per diffondere Trickbot e il Trojan bancario Qbot/Qakbot.

Il codice sorgente di Cobalt Strike per la versione 4.0 sarebbe stato trapelato online , tuttavia, la maggior parte degli attori delle minacce monitorati dai team di sicurezza informatica sembrano fare affidamento su copie pirata e craccate del software.

Fino ad ora, almeno.

Ad agosto, Intezer ha scoperto la nuova implementazione ELF del faro di Cobalt Strike, che sembra provenire dalla Malesia.

Quando i ricercatori hanno segnalato Vermilion Strike, non è stato rilevato su VirusTotal come software dannoso. (Tuttavia, al momento della stesura, 24 fornitori di antivirus hanno registrato la minaccia.)

Costruito su una distribuzione Red Hat Linux, il malware è in grado di lanciare beacon, elencare file, cambiare ed estrarre directory di lavoro, aggiungere e scrivere file, caricare dati sul suo C2, eseguire comandi tramite la funzione popen e analizzare le partizioni del disco.

Sebbene siano in grado di attaccare le build Linux, sono stati trovati anche esempi di Windows che utilizzano lo stesso server C2 e contengono le stesse funzionalità.

I ricercatori hanno lavorato con McAfee Enterprise ATR per esaminare il software e sono giunti alla conclusione che Vermilion Strike viene utilizzato in attacchi mirati contro organizzazioni di telecomunicazioni, governo, IT, consulenza e finanziarie in tutto il mondo.

"La sofisticatezza di questa minaccia, il suo intento di condurre lo spionaggio e il fatto che il codice non sia mai stato visto prima in altri attacchi, insieme al fatto che prende di mira entità specifiche in natura, ci porta a credere che questa minaccia fosse sviluppato da un abile attore di minacce", afferma Intezer.

Tuttavia, questo non è l'unico porto non ufficiale di Cobalt Strike. C'è anche geacon , un progetto open source basato sul linguaggio di programmazione Golang.