In Breve

• Cobalt Strike 4.12 introduce una REST API, permettendo agli operatori di automatizzare gli attacchi con qualsiasi linguaggio di programmazione.
• Quattro nuove tecniche di iniezione di processo aiutano a eludere gli strumenti di sicurezza moderni.
• Due nuovi bypass di User Account Control (UAC) prendono di mira anche i sistemi Windows più recenti.
• User Defined Command and Control (UDC2) consente canali di comunicazione completamente personalizzati per i payload.
• Il “drip loading” rende i malware più difficili da individuare da parte dei software di sicurezza grazie a una consegna scaglionata dei payload.

Il Nuovo Volto dello Spionaggio Digitale

Immagina un ladro di casseforti con una valigetta piena di gadget in continua evoluzione - ora immagina che quegli strumenti siano digitali, invisibili e in rapida moltiplicazione. Questo è il mondo che Cobalt Strike 4.12 sta inaugurando. Originariamente progettato per i professionisti della sicurezza per testare le difese, questo toolkit di “red teaming” è diventato il preferito sia dagli hacker etici che dai cybercriminali. Ogni aggiornamento, come un nuovo set di grimaldelli, può spostare l’equilibrio nella continua corsa agli armamenti tra attaccanti e difensori.

Automazione e Invisibilità: Un’Arma a Doppio Taglio

La nuova REST API di Cobalt Strike è una svolta epocale, permettendo ad attaccanti - o tester di sicurezza - di automatizzare operazioni complesse da qualsiasi linguaggio di programmazione. Questo rende più facile per i team (e, purtroppo, anche per i gruppi criminali) coordinare attacchi sofisticati su larga scala, e persino integrare strumenti di intelligenza artificiale per decisioni in tempo reale. I ricercatori di sicurezza sottolineano che tale automazione abbassa la barriera d’ingresso anche per attaccanti meno esperti, consentendo loro di realizzare violazioni complesse.

Nel frattempo, le nuove tecniche di iniezione di processo dell’aggiornamento sono come dare agli intrusi una chiave maestra per superare le difese digitali. Metodi come RtlCloneUserProcess ed EarlyCascade sfruttano il modo in cui Windows avvia i programmi, aggirando i sistemi di rilevamento progettati per individuare attività sospette. Questi approcci si basano su ricerche recenti emerse in attacchi informatici di alto profilo, come le famigerate campagne ransomware TrickBot e Conti, dove gli attaccanti hanno utilizzato tattiche simili di “living off the land” per confondersi con le normali operazioni di sistema.

Bypass UAC e Canali Personalizzati: Abbattere le Barriere

Il Controllo Account Utente (UAC) di Windows dovrebbe impedire modifiche non autorizzate, ma Cobalt Strike 4.12 introduce due nuovi bypass - uac-rpc-dom e uac-cmlua - che funzionano anche sulle ultime versioni di Microsoft. Questo significa che gli attaccanti possono eseguire codice malevolo con privilegi elevati, aggirando una delle ultime linee di difesa per molte organizzazioni.

Forse ancora più preoccupante è UDC2, un nuovo framework che permette agli utenti di creare canali “command and control” completamente personalizzati per i propri payload. Mascherando il traffico o utilizzando protocolli di rete poco comuni, gli attaccanti possono rendere le loro comunicazioni praticamente invisibili agli strumenti di monitoraggio tradizionali. Per i difensori, è come giocare a nascondino al buio - senza sapere chi si nasconde e dove.

Implicazioni: Il Gioco del Gatto e del Topo si Intensifica

Con il drip-loading, la registrazione avanzata e i miglioramenti cross-platform, Cobalt Strike 4.12 consolida il suo status di strumento imprescindibile - sia che tu stia difendendo che attaccando. Mentre gruppi di hacker e attori statali trasformano sempre più spesso strumenti come questo in armi, è un chiaro promemoria: il campo di battaglia digitale non è mai statico. Ogni innovazione costringe i difensori ad adattarsi più rapidamente, mentre la linea tra test di sicurezza legittimi e attività criminali si fa sempre più sottile.

WIKICROOK

• Process Injection: L’iniezione di processo è quando un malware si nasconde all’interno di processi software legittimi, rendendo più difficile per gli strumenti di sicurezza rilevare e rimuovere la minaccia.
• REST API: Una REST API è un insieme di regole che consente a diversi sistemi software di comunicare su Internet, agendo come un traduttore tra siti web e app.
• User Account Control (UAC) Bypass: Il bypass del Controllo Account Utente (UAC) consiste nell’ingannare Windows affinché consenta modifiche non autorizzate, eludendo i suoi avvisi e protezioni di sicurezza.
• Command and Control (C2): Il Command and Control (C2) è il sistema che gli hacker utilizzano per controllare da remoto dispositivi infetti e coordinare attacchi informatici malevoli.
• Drip Loading: Il drip loading è un metodo di consegna di file malevoli in piccole parti separate per aggirare i sistemi di sicurezza ed evitare il rilevamento.