Cobalt Strike.

Cobalt Strike ist ein kommerzielles Threat-Emulation-Werkzeug, urspruenglich von Raphael Mudge entwickelt und heute von Fortra (vormals HelpSystems) vertrieben. Es liefert einen Team Server, das Beacon-Implant, Malleable-C2-Profile sowie Werkzeuge fuer Phishing, Lateral Movement, Pivoting und Privilege Escalation, mit denen Red Teams fortgeschrittene Intrusionen glaubwuerdig simulieren koennen. Beacon unterstuetzt asynchrone „Sleep"-Check-ins mit konfigurierbarem Jitter und kann fuer Peer-to-Peer-Steuerung ueber HTTP(S), DNS oder SMB-Named-Pipes tunneln, waehrend Malleable-Profile den Traffic so umformen, dass er legitime Dienste imitiert.

Geknackte und geleakte Kopien werden von Ransomware-Affiliates (Conti, LockBit, Ryuk) und staatlichen Akteuren massiv eingesetzt; die SolarWinds-SUNBURST-Intrusion (2020) brachte einen Cobalt-Strike-Loader (ueber die TEARDROP-/Raindrop-Loader) fuer die Folgeaktivitaet aus. Um den Missbrauch einzudaemmen, erwirkten Microsofts DCU, Fortra und Health-ISAC am 31. Maerz 2023 eine Gerichtsanordnung des US-Bezirksgerichts fuer den Eastern District of New York und sinkholten mehr als 200 boesartige Domains — ein Vorgehen, das laut Fortra die unautorisierten Kopien im Umlauf um rund 80 % reduzierte. Verteidiger erkennen Beacon per EDR-Speicherscan (z. B. BeaconEye), Standard-Named-Pipes (\\.\pipe\msagent_*), JARM-/JA3-TLS-Fingerprints und YARA-Regeln. Legaler Einsatz setzt eine bezahlte Lizenz und einen schriftlichen Auftrag voraus.

flowchart LR
  A[Operator] --> B[Team Server]
  B -->|Malleable-C2-Profil| C[Beacon-Payload]
  C -->|Phishing / Exploit| D[Opfer-Host]
  D -->|Sleep + Jitter Check-in<br/>HTTPS / DNS| B
  D -->|SMB-Named-Pipe| E[Peer-Beacon]
  E --> F[Lateral Movement<br/>Privilege Escalation]
  F --> G[Ziele:<br/>Ransomware / Exfiltration]