Hướng Dẫn Sử Dụng Cobalt Strike Cho Đội Ngũ RedTeam (Phần 1)

I. Giới thiệu về Cobalt Strike

Cobalt Strike là một công cụ nổi bật dành riêng cho đội ngũ RedTeam và BlackHat, được sử dụng để mô phỏng các mối đe dọa tấn công vào hệ thống của doanh nghiệp và chính phủ. Cobalt Strike hiện đang đứng đầu trong danh sách các công cụ bị sử dụng "sai mục đích" trong lĩnh vực an ninh mạng.

Với sự phát triển từ Metasploit Framework, tác giả Raphael Mudge đã tạo ra Armitage như một công cụ miễn phí, sau đó nâng cấp và phát triển Cobalt Strike. Do đó, Armitage và Cobalt Strike có nhiều điểm tương đồng về giao diện cũng như cách sử dụng, trong khi tác giả xem Cobalt Strike như phiên bản "anh trai" của Armitage.

So sánh Cobalt Strike và Metasploit Framework

Cobalt Strike chú trọng hơn vào phát triển mã độc và phishing, trong khi Metasploit Framework tập trung vào mã khai thác (exploit).
Metasploit sử dụng Ruby cho các module mở rộng, trong khi Cobalt Strike hỗ trợ nhiều ngôn ngữ lập trình khác nhau thông qua “CobaltStrike script”.
Cobalt Strike quản lý session tốt hơn, phù hợp cho việc điều phối nhiều "bot" trong vai trò C&C.
Cobalt Strike sử dụng kiến trúc Client - Server, điều mà Metasploit Framework không hề có.
Cobalt Strike yêu cầu phí sử dụng và không dễ dàng cho tất cả, thường chỉ dành cho những tổ chức có ngân sách.

II. Hướng dẫn Cài đặt Cobalt Strike

Thiết lập môi trường

Máy chủ Ubuntu sẽ đóng vai trò C&C với IP công khai 34.126.119.215 và đã trỏ được Domain về malware-victim.online (C&C).
Hệ điều hành Kali Linux sẽ được sử dụng làm Cobalt Strike Client (Hacker).
Windows 10 Pro sẽ là máy tính nạn nhân (Victim).

Cobalt Strike yêu cầu cài đặt Java phiên bản 17.0.2 trở lên.

Bước 1: Tải Cobalt Strike 4.4.

Liên hệ với nhà phát triển để mua: Cobalt Strike download

Bước 2: Tải Malleable C2 Profiles từ GitHub.

Malleable C2 cho phép điều chỉnh và làm giả lưu lượng truyền từ Victim về C&C, tuyệt đối quan trọng trong việc khó phát hiện mã độc.

Bước 3: Trên máy chủ C&C, chạy lệnh dưới đây:

Copy

# screen 
# ./teamserver <host> <password> [/path/to/c2.profile] [YYYY-MM-DD]

Trong đó, là IP C&C và là mật khẩu đăng nhập của client.

Bước 4: Kết nối máy Hacker (Kali Linux) với C&C bằng cách chạy:

Copy

# ./start.sh

Cài đặt các thông số cần thiết như IP, Port, User, Password trong file teamserver để kết nối thành công.

III. Hướng dẫn Sử Dụng Cobalt Strike: Cơ Bản 101

Giao Diện Người Dùng

Giao diện của Cobalt Strike được chia thành ba khu vực chính:

Khu vực A: Chứa các nút chức năng cho cuộc tấn công.
Khu vực B: Hiển thị danh sách các máy tính đã chiếm quyền điều khiển.
Khu vực C: Hiển thị các log sự kiện, thông báo về các tài khoản đăng nhập thành công vào Cobalt Strike.

Case Study: Giả lập Tạo Mã Độc Tấn Công Hệ Thống example.com

Dùng Cobalt Strike mô phỏng kiểu tấn công Red Team:

Recon: Tìm hiểu thông tin từ hệ thống của nạn nhân.
Weaponization: Tạo mã độc.
Delivery: Gửi mã độc đến nạn nhân.
Post Exploit: Thực hiện các hoạt động sau khi đã chiếm quyền điều khiển thành công.

Chi tiết sẽ được mô tả cho từng bước cụ thể trong bài viết.

IV. Kết Luận

Bài viết này trình bày những kiến thức cơ bản về Cobalt Strike, kèm theo hướng dẫn cài đặt và sử dụng. Cobalt Strike là một công cụ rất mạnh mẽ với nhiều tính năng mở rộng. Hy vọng rằng bạn sẽ sở hữu thêm kiến thức hữu ích trong lĩnh vực an ninh mạng qua các phần sau!
source: viblo