Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Фреймворк Havoc – очередная альтернатива Cobalt Strike с открытым исходным кодом

16/02/23

hack134-Feb-16-2023-11-30-22-4360-AM

Исследователи безопасности Zscaler ThreatLabz наблюдают, как злоумышленники переходят на новую платформу управления и контроля (C2, C&C) с открытым исходным кодом под названием Havoc, в качестве альтернативы Cobalt Strike.

Среди наиболее интересных возможностей Havoc — кроссплатформенность: он обходит Microsoft Defender на современных устройствах с Windows 11 с помощью метода Sleep obfuscation (Обфускация сна), подмену стека адресов возврата и непрямые системные вызовы.

Как и другие комплекты для эксплуатации, Havoc включает в себя широкий спектр модулей, позволяющих пентестерам и хакерам выполнять различные задачи на эксплуатируемых устройствах, включая:

 

  • выполнение команд;
  • управление процессами;
  • загрузку дополнительных полезных данных;
  • манипулирование токенами Windows;
  • выполнение шелл-кода.

Все это делается через панель управления, позволяющую видеть все скомпрометированные устройства, события и выходные данные задач.

0n8yokywtgjvilo9pkyfmdv53w0dk7g2

Недавно в начале января неизвестная группа угроз применила этот набор для пост-эксплуатации в рамках кампании, направленной против неназванной правительственной организации.

Исследовательская группа Zscaler ThreatLabz заметила, что загрузчик шелл-кода, сброшенный на скомпрометированные системы, отключает отслеживание событий для Windows (ETW), а окончательная полезная нагрузка Havoc Demon загружается без заголовков «DOS» и «NT», чтобы избежать обнаружения.

Фреймворк также был развернут с помощью вредоносного npm-пакета «Aabquerys», в названии которого применён метод тайпсквоттинга (Typosquatting) для имитации легитимного модуля.

«Demon.bin — это вредоносный агент с типичными функциями RAT-трояна, который сгенерирован с использованием Havoc. Он поддерживает создание вредоносных агентов в нескольких форматах, включая исполняемый файл Windows PE, PE DLL и шелл-код.

Cobalt Strike стал наиболее распространенным инструментом хакеров для доставки дополнительных полезных нагрузок, но некоторые киберпреступники начали искать альтернативы этому инструменту, поскольку защитники научились эффективнее обнаруживать и предотвращать атаки.

Одним из альтернативных вариантов является Brute Ratel (BRc4), который представляет из себя сложный набор инструментов «для избегания обнаружения EDR-решений и антивирусного ПО». Созданный индийским ИБ-специалистом Четаном Наяком BRc4 является аналогом Cobalt Strike и описывается как «настраиваемый центр управления и контроля для красной команды (Red Team) и эмуляции противника».

Ещё одна бесплатная замена Cobalt Strike, которая стала очень популярной у хакеров, называется Sliver – кроссплатформенный open-source инструмент для пентеста на основе Go, разработанный ИБ-компанией BishopFox. C&C-сервер Sliver поддерживает несколько протоколов (DNS, HTTP/TLS, MTLS, TCP) и подключение имплантатов, а также может размещать файлы, имитирующие законный веб-сервер. Поэтому ИБ-специалисты могут настроить прослушиватели для выявления инфраструктуры Sliver в сети.

Темы:УгрозыZscalerоткрытое ПОCobalt Strike
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...