Caçando Beacons do Cobalt Strike

Visão Geral

Cobalt Strike é o framework de comando e controle mais prevalente, usado tanto por equipes vermelhas quanto por atores de ameaças. O Beacon, sua carga útil principal, se comunica com servidores de equipe usando perfis HTTP/HTTPS/DNS configuráveis que podem imitar tráfego legítimo. No entanto, configurações padrão e padrões comportamentais permanecem detectáveis através da análise de certificados TLS (serial padrão 8BB00EE), impressão digital JA3/JA3S, análise de jitter do intervalo do beacon e correspondência de padrões de perfil HTTP maleável. Esta habilidade abrange a construção de capacidades de detecção usando logs de rede Zeek, regras Suricata IDS e análise de PCAP baseada em Python para identificar callbacks de beacon no tráfego de rede.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por beacons do Cobalt Strike
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Zeek 6.0+ com pacotes JA3 e HASSH instalados
• Suricata 7.0+ com o conjunto de regras Emerging Threats
• Python 3.9+ com as bibliotecas scapy e dpkt
• Capturas de tráfego de rede (PCAP) ou logs Zeek ao vivo
• RITA (Real Intelligence Threat Analytics) para pontuação de beacon
• Feeds de inteligência de ameaças com IOCs conhecidos do Cobalt Strike

Passos

Passo 1: Análise de Certificado TLS

Detecte certificados padrão do Cobalt Strike usando impressões digitais JA3S, números de série de certificados e impressões digitais JARM no ssl.log do Zeek.

Passo 2: Análise de Intervalo do Beacon

Analise padrões de tempo de conexão para identificar intervalos regulares de callback com jitter configurável, característicos do comportamento do beacon.

Passo 3: Detecção de Perfil HTTP

Corresponda padrões de requisição HTTP (caminhos URI, cabeçalhos, user-agents) com perfis C2 maleáveis conhecidos.

Passo 4: Correlacionar e Pontuar

Combine múltiplos indicadores (TLS + tempo + perfil HTTP) em uma pontuação de confiança composta para o beacon.

Saída Esperada

Relatório JSON contendo candidatos a beacon detectados com pontuações de confiança, impressões digitais TLS, análise de tempo, correspondências de perfil HTTP e ações de resposta recomendadas.