141
BlackBerry （紐約證券交易所代碼：BB；多倫多證券交易所代碼：BB）近日在BlackBerry安全峰會(huì)上發(fā)布了最新著作《在黑暗中尋找信標(biāo)——網(wǎng)絡(luò)威脅情報(bào)指南》，旨在解讀目前網(wǎng)絡(luò)攻擊者最常用工具之一Cobalt Strike的信標(biāo)演變及泛濫狀況。
在詳細(xì)介紹預(yù)防惡意Cobalt Strike有效載荷方法的同時(shí)，該書也概述了為何一款強(qiáng)大的網(wǎng)絡(luò)威脅情報(bào)（CTI）生命周期管理工具，及具備擴(kuò)展檢測(cè)與響應(yīng)（XDR）的解決方案能夠提供阻斷此類威脅所需的環(huán)境。
Cobalt Strike最初只是一款開(kāi)發(fā)用以模擬對(duì)手的工具，現(xiàn)已演變?yōu)楸粐?guó)家級(jí)APT組織、網(wǎng)絡(luò)黑客等群體最常選擇的攻擊手段之一。該書重點(diǎn)強(qiáng)調(diào)了各種組織和機(jī)構(gòu)目前面臨的諸多網(wǎng)絡(luò)安全威脅，其在此背景下該如何搭建網(wǎng)絡(luò)防御框架，并揭示了以往認(rèn)定的毫無(wú)關(guān)聯(lián)的網(wǎng)絡(luò)攻擊之間的聯(lián)系。
由于具有可塑性和可訪問(wèn)性的特點(diǎn)，Cobalt Strike被作為紅隊(duì)常用的工具，現(xiàn)已被網(wǎng)絡(luò)犯罪分子嚴(yán)重濫用。Cobalt Strike功能豐富，支持多種攻擊方法，因此也一直是眾多國(guó)家級(jí)APT組織的首選。對(duì)于過(guò)去一年半內(nèi)勒索軟件泛濫的現(xiàn)象，Cobalt Strike無(wú)疑是起到了推波助瀾的作用。
相較于自行開(kāi)發(fā)內(nèi)部技術(shù)，通過(guò)地下論壇購(gòu)買現(xiàn)成的惡意軟件和相關(guān)工具顯然成本更低，而且還會(huì)給執(zhí)法機(jī)構(gòu)造成歸因困難，因此Cobalt Strike是企業(yè)和網(wǎng)絡(luò)犯罪分子的理想選擇。當(dāng)網(wǎng)絡(luò)黑客組織是受雇于國(guó)家行為體時(shí)，這種歸因困難的挑戰(zhàn)會(huì)更加復(fù)雜。
“對(duì)網(wǎng)絡(luò)犯罪分子來(lái)說(shuō)，Cobalt Strike近乎是完美的軟件，但同時(shí)也凸顯了網(wǎng)絡(luò)安全行業(yè)面臨的進(jìn)退兩難的核心困境，即精心開(kāi)發(fā)的工具既可以提升網(wǎng)絡(luò)安全，也會(huì)被用以助長(zhǎng)網(wǎng)絡(luò)犯罪?！盉lackBerry研究與情報(bào)事業(yè)部副總裁埃里克·米拉姆（Eric Milam）表示，“Cobalt Strike功能豐富，開(kāi)發(fā)人員還為其提供了完善支持與積極維護(hù)。但Cobalt Strike的有效載荷也為網(wǎng)絡(luò)攻擊者提供了許多可乘之機(jī)，進(jìn)而成為了APT組織和網(wǎng)絡(luò)犯罪新手青睞的選擇?！?/p>
除了Cobalt Strike被大量應(yīng)用于地下犯罪活動(dòng)的原因值得深思，高水平的APT組織對(duì)這一工具的持續(xù)使用同樣值得關(guān)注。2021年10月，APT41就使用Cobalt Strike給目標(biāo)印度公民發(fā)送了釣魚郵件；Dridex操控者也在最近進(jìn)行的網(wǎng)絡(luò)釣魚和惡意垃圾郵件活動(dòng)中大量利用了Cobalt Strike。
BlackBerry產(chǎn)品工程執(zhí)行副總裁Billy Ho強(qiáng)調(diào)，“這本新書旨在通過(guò)分享我們的知識(shí)來(lái)提升網(wǎng)絡(luò)安全防護(hù)，同時(shí)介紹BlackBerry為打造一套Cobalt Strike自動(dòng)探測(cè)系統(tǒng)所采取的步驟，更為重要的是展示如何從生成的數(shù)據(jù)集中挖掘有意義的威脅情報(bào)。從而，通過(guò)這些信息發(fā)現(xiàn)線索、了解趨勢(shì)、獲得威脅組織和攻擊活動(dòng)的情報(bào)?！?/p>
《在黑暗中尋找信標(biāo)——網(wǎng)絡(luò)威脅情報(bào)指南》將于2021年11月正式上架。
