Um "espaço" nas respostas HTTP executados por vários agentes maliciosos (atacantes) permitiu que os investigadores da Fox-IT os identificassem com facilidade no último ano e meio.
Foi possível chegar a este resultado porque os atacantes usaram o Cobalt Strike; uma ferramenta para pentesting comercial e projetada para executar ataques direcionados e emular ações de post-explotation.
A versão que eles usaram adicionava um espaço em branco estranho nas respostas HTTP.
A ferramenta tem um componente de implante (beacon) e um componente de servidor (team server), e os operadores podem ligar-se a este último para gerir e interagir com os beacons do Cobalt Strike utilizando uma GUI.
A anomalia do cabeçalho HTTP permitiu que os investigadores da Fox-IT descobrissem os servidores usados pelo grupo APT 10, o Cobalt Group; aqueles que estavam a utilizar o Trojan Bokbot para seu usufruto.
Os investigadores compilaram uma lista de endereços IP dos servidores da equipa do Cobalt Strike que estão em operação entre 2015 até ao momento para que as organizações possam verificar se foram atingidas.
Os investigadores aconselham os especialistas de segurança a implementar estas mitigações de forma a dificultar a identificação (fingerprint) do Cobalt Strike nos pedidos.
Desde janeiro de 2019, o bug "espaço estranho" se tornou menos útil para descobrir servidores de ataque porque uma nova versão do Cobalt Strike (v3.1.3) foi lançada e o bug foi removido das respostas de status HTTP.
Category: Hacking, vulnerability Tag: Cobalt Strike, Computer Security, hacking, vulnerabilityLeave a comment