Europol haalt Cobalt Strike-servers offline die werden gebruikt door criminelen

Tijdens een internationale operatie van politiediensten zijn bijna 600 IP-adressen offline gehaald. Dat bevestigt Europol op woensdag. De servers daarachter draaiden licentieloze versies van de pentesttool Cobalt Strike en werden door criminelen gebruikt voor cyberaanvallen.

De actie tegen de Cobalt Strike-servers werd ook wel Operation Morpheus genoemd, schrijft Europol in een persbericht. De operatie werd geleid door de Britse National Crime Agency, in samenwerking met internationale politiediensten en enkele private bedrijven. Ook de Nederlandse politie nam deel aan de actie, terwijl Europol deze coördineerde. De operatie werd gericht op het tegengaan van crimineel misbruik van de Cobalt Strike-tool en vond plaats tussen 24 en 28 juni.

Tijdens Operation Morpheus hebben politiediensten meerdere IP-adressen geflagd, waarvan bekend is dat ze geassocieerd zijn met criminele activiteit, naast domeinnamen die worden gebruikt door criminele organisaties. Providers van onlinediensten konden deze gegevens gebruiken om ongelicentieerde versies van Cobalt Strike uit te schakelen. In totaal zijn 690 IP-adressen verstrekt, waarvan er tegen het einde van de week 593 offline waren gehaald.

Cobalt Strike is een legitieme tool voor cybersecurityexperts. De software wordt gebruikt om penetratietests uit te voeren, om zo zwaktes in IT-systemen te ontdekken. Gebruikers betalen jaarlijks licentiekosten en moeten eerst een screening ondergaan. Er zijn echter ook gekraakte oudere versies van de software in omloop, die criminelen kunnen gebruiken om echte cyberaanvallen uit te voeren. De tool kan gebruikt worden om op afstand toegang te krijgen tot IT-systemen en daar bijvoorbeeld malware of ransomware te installeren. Illegale versies van Cobalt Strikes zijn verbonden aan 'meerdere malware- en ransomwareonderzoeken', schrijft Europol, waaronder onderzoeken naar RYUK, Trickbot en Conti.

Reacties (15)

[Stetsed]

Vindt het nog steeds zeer interessant hoe relevant cobalt strike is, meeste versies zover ik weet komen uit de 2020 bron code leak[1] waar tweakers op duid. Dus dit is all zeker een tijdje geleden maar toch hoor je nog vaak dat het wordt gebruikt binnen de criminele wereld.

Misschien zou dit komen omdat het een bron code leak was en niet alleen een compiled leak? Waardoor het makelijker is voor criminelen om het aantepassen misschien en relevant blijft. Dit is meer mijn theory, omdat normaal wanneer er een leak is van bepaalde malware etc wordt het redelijk snel niet meer relevant omdat het nu veel meer bekend is en dus tegen kan worden gegaan.

1. https://www.bleepingcompu...ke-toolkit-shared-online/

[dev-random]

Het C2 framework kan nog prima mee. Veel van de elementen die onderhevig zijn aan verandering breng je zelf in.

[Skywalker27]

Precies vorig jaar eens een workshop gevolgd over de speur toch naar hidden CobaltStrike servers van een van de medewerkers (Yun Hu) van FOX-IT zeer interessant mag ik zeggen maar oh wat een werk is dat zeg in de zin van veel.

[rajackar]

Dat is een hele logische eerste reactie.
Maar we onderschatten hier nog wel eens hoe enorm laks er nog steeds wordt omgegaan met updates.
Als crimineel kun je je heel makkelijk richten op de enorme hoeveelheid systemen die zeer verouderde OS-en draaien en dan vaak ook nog zonder (goede) malware detectie.
Daar is helaas nog heel veel te halen en voor exploitatie kun je allerlei tools gebruiken die publiek beschikbaar zijn. Waaronder cobalt strike.

Ik heb zelf een tijdje geleden uit interesse wat gezocht en kon heel makkelijk aan de hele toolkit komen. En zoals @dev-random al aangeeft het framework zelf is goed te configureren met nieuwere componenten.

[gsus1991]

Zover ik weet is het mogelijk om de software te kraken, net zoals dat met games gebeurd. De meeste goede hackers weten wel hoe je dat voor elkaar kunt krijgen.

[mrfu]

"Alle software is open source als je assembly kunt lezen."

[AMDLegion]

Cobalt Strike klinkt als een Netease knockoff van Counterstrike

[Verwijderd]

Ook het eerste wat ik dacht bij het lezen van de titel, huh wordt een game gebruikt door criminelen?

[Svrooij86]

Dat was exact wat ik ook dacht.

[WhatsappHack]

Ik dacht hetzelfde. Gewoon tijdens het gamen berichtjes uitwisselen ofzo. Geen heel gek idee.

[jvwou123]

ik heb meestal het tegenoverstelde: oh vet, zijn er tegenwoordig wedstrijden om te kijken wie het beste kan hacken, ow wacht dit is een spelletje.

[Mikke8]

Dergelijke wedstrijden bestaan al lange tijd.
Er is zelfs een hele community rond: https://ctftime.org/

[jvwou123]

Weet ik, ik bedoelde het meer voor de grap: de meeste mensen hebben sneller een associatie met een spel, en dat heb ik dus totaal niet. Al dat game nieuws op tweakers zegt mij helemaal niets.

[Echelon2011]

Losstaande van de negatieve context is Cobalt Strike nog steeds iets waar ik erg van onder de indruk ben. Eens een beacon is gezet is het gemakzucht om lateraal te scannen en credentials te dumpen (net localgroup Administrators), privileges te verhogen... echt bijna niet te geloven. Net omwille van het feit dat het zo configureerbaar is, is het moeilijk te (blijven) detecteren.

[hoikboik]

Ik ben bekend met cobalt strike, maar gek genoeg las ik dat Europol Counterstrike servers plat had gelegd 🤣