Cobalt Strike はハッカー御用達のツールになってしまったのか？

Cobalt Strike Becomes a Preferred Hacking Tool by Cybercrime, APT Groups

2021/05/19 DarkReading — RSA CONFERENCE 2021 – オープンソース・ハッキング・プラットフォームである Metasploit は、ネットワーク・テストに必要なツールであると同時に、サイバー犯罪者たちによる悪用に不安を抱く人々から、20年近くにわたり熱狂と不満の声を集めてきた。いまもなお、Metasploit は善良なハッカーと悪質なハッカーから人気を得ているが、レッドチームのツールである Cobalt Strike も、攻撃において重要な役割を果たすようになってきた。

そこでの攻撃者たちは、Cobalt Strike のカスタマイズ版や、クローン版、商用版を用いて被害者のネットワークに侵入した後に、ペイロード（Metasploit のエクスプロイトを含む）を運ぶという攻撃の 2段階目で、このツールを武器にしている。Cobalt Strike とは、2012年に Raphael Mudge が開発し、2020年に HelpSystems が買収した、ペネトレーション・テスト用の脅威再現ソフトウェアである。

この Cobalt Strike ですが、Sophos がカタログ化した、攻撃者の行動／ツール ／テクニック／手順 (TTP) などに関する最新データによると、悪用されるツールの Top-5 に入っているそうです。また、PowerShell を悪用した攻撃の 60％ 近くが Cobalt Strike を利用しているそうです。そして、攻撃の約 12％ では、Cobalt Strike と PowerShell / PsExec の組み合わせが利用されているそうです。