使用内存签名检测 Cobalt Strike.pdfVIP

2021/9/5使⽤内存签名检测CobaltStrike|ElasticBlog

使⽤内存签名检测CobaltStrike|ElasticBlog

基于签名的检测—尤其是内存中扫描—是⼀种极具价值的威胁检测策略。在这篇博⽂中，

了解如何在有效误报率为零的情况下检测CobaltStrike，⽽不管它的配置或隐蔽功能如何。

在Elastic安全中，我们会借助多种⽅法来应对威胁检测⽅⾯的挑战。在传统上，我们专注于研究MachineLearning模

型和⾏为。这两种⽅法⾮常强⼤，因为它们可以检测到前所未⻅的恶意软件。从历史数据看，我们认为签名太容易被规

避，但我们也认识到，规避的难易只是需要考虑的众多因素之⼀。性能和误报率也是衡量检测技术有效性的关键。

签名虽然⽆法检测到未知的恶意软件，但其误报率接近于零，并且有相关联的标签，这对确定告警优先级会有所帮助。

例如，与不受欢迎的潜在⼴告软件变体相⽐，针对TrickBot或REvil勒索软件的告警更需要⽴即采取⾏动。即使我们假

设通过签名只能捕获⼀半的已知恶意软件，但考虑到其他⽅⾯的益处，再配以其他保护措施，这仍然是⼀个巨⼤的胜

利。实际上，我们还可以做得更好。

在创建具有⻓期价值的签名⽅⾯，⼀⼤障碍就是加壳程序和⼀次性恶意软件加载程序的⼴泛使⽤。这些组件会迅速进化

以规避签名检测；但是，最终的恶意软件有效负载终究会在内存中解密并执⾏。

为了解决加壳程序和加载程序的问题，我们可以将签名检测策略集中在内存中的内容上。这会有效地将签名的有效期限

从⼏天延⻓到⼏个⽉。在这篇博⽂中，我们将以CobaltStrike为例，介绍如何利⽤内存中签名。

⽣成CobaltStrike签名

CobaltStrike是⼀种流⾏的框架，⽤于进⾏红队操作和对⼿模拟。⼤概是由于它的易⽤性、稳定性和隐蔽功能，它也

成为了有着更多不轨意图的不法者最爱的⼯具。现在有多种技术可以检测CobaltStrike的终端有效负载Beacon。

这包括查找⽆⽀持线程，以及最近的内置命名管道。然⽽，由于Beacon具有很⾼的可配置性，因此通常有⼀些⽅

法可以避开公共检测策略。下⾯，我们将尝试使⽤内存签名作为替代检测策略。

Beacon通常是反射加载到内存中，并且从不以可直接签名的形式接触磁盘。此外，Beacon可以配置各种内存中混淆

选项以隐藏其有效负载。例如，obfuscate-and-sleep选项会试图在回调之间屏蔽部分Beacon有效负载，以专⻔避

开基于签名的内存扫描。我们在开发签名时需要考虑这个选项，但即使有这些先进的隐蔽功能，对Beacon进⾏签名仍

然很容易。

进⼀步了解

我们将⾸先获取⼀些Beacon有效负载，并在最新版本中启⽤和禁⽤sleep_mask选项（参考部分中的哈希）。从禁

⽤sleep_mask的示例开始，在引爆后，我们可以通过ProcessHacker查找从⽆⽀持区域调⽤SleepEx的线程来定位

内存中的Beacon：

https://www.elastic.co/cn/blog/detecting-cobalt-strike-with-memory-signatures1/4

2021/9/5使⽤内存签名检测CobaltStrike|ElasticBlog

然后，我们可以将关联的内存区域保存到磁盘以供分析：

最简单的做法是，从这个区域挑选⼀些独特的字符串并将它们⽤作我们的签名。出于演示⽬的，我们将使⽤yara编写