Cobalt Strike Forensics Detection

Définition

La détection forensique de Cobalt Strike (CS) est une compétence essentielle en DFIR car cet outil de simulation d'attaque (commercialement légal mais massivement utilisé par les attaquants) est présent dans la grande majorité des intrusions APT sophistiquées. Identifier la présence et l'utilisation de Cobalt Strike dans un environnement compromis permet de comprendre l'étendue de la compromission et les capacités de l'attaquant. Cobalt Strike utilise un modèle client-serveur : le Team Server (l'infrastructure de l'attaquant) communique avec des Beacons déployés sur les systèmes compromis. Les Beacons peuvent être des DLLs, des exécutables, des shellcodes, ou des scripts PowerShell. Ils établissent périodiquement des connexions HTTPS (souvent sur le port 443) avec le Team Server pour recevoir des commandes et transmettre les résultats. Les artefacts forensiques de Cobalt Strike sont nombreux. En mémoire : Volatility malfind révèle les Beacons réfléchissants (Reflective DLL Injection dans des processus légitimes), les régions mémoire avec des en-têtes PE caractéristiques dans des zones Private RWX. Le plugin windows.cobalt_strike (communautaire) identifie les configurations de Beacon en mémoire. Les profils Cobalt Strike Malleable C2 modifient l'apparence des communications HTTP (headers, URLs, corps de requête) pour imiter du trafic légitime — des outils comme cs-malleable-profile-parser peuvent identifier les configurations utilisées. Les indicateurs réseau Cobalt Strike incluent : le heartbeat régulier (beaconing) avec un intervalle défini (par défaut 60 secondes avec jitter), les certificats TLS auto-signés avec des OIDs caractéristiques (jusqu'à ce que le profil soit personnalisé), les en-têtes HTTP avec des champs inhabituels ou non standards, et le fingerprint JA3 caractéristique des bibliothèques TLS utilisées par Cobalt Strike (identifiable dans les logs Zeek ssl.log). Des projets comme CobaltStrike-Config-Extractor (Python, Fox-IT/Intezer) permettent d'extraire la configuration complète d'un Beacon (domaine C2, type de communication, payload stager) depuis des samples de malware ou depuis des captures mémoire.