Cobalt Strike.

Cobalt Strike は Raphael Mudge が最初に開発し、現在は Fortra(旧 HelpSystems)が販売している商用脅威エミュレーション ツールです。Team Server、Beacon インプラント、Malleable C2 プロファイル、フィッシング、横展開、ピボット、権限昇格用ツール群を提供し、レッドチームが高度な侵入を信頼性高く再現できるようにします。Beacon は設定可能なジッターを伴う非同期の「スリープ」チェックインをサポートし、HTTP(S)、DNS、あるいは SMB 名前付きパイプ経由のピアツーピア制御でトンネルできます。Malleable プロファイルは通信を正規サービスに偽装するよう整形します。

クラック版・流出版はランサムウェア アフィリエイト(Conti、LockBit、Ryuk)や国家アクターに広く採用されており、SolarWinds SUNBURST 侵害(2020 年)は TEARDROP/Raindrop ローダー経由で Cobalt Strike ローダーを展開し後続活動に用いました。悪用を抑えるため、Microsoft DCU、Fortra、Health-ISAC は 2023 年 3 月 31 日に米国ニューヨーク東部地区連邦地方裁判所から命令を取得し、200 を超える悪性ドメインをシンクホール化しました。Fortra によればこの取り組みで野に出回る無許可コピーは約 80% 減少しました。防御側は EDR のメモリー スキャン(例: BeaconEye)、既定の名前付きパイプ(\\.\pipe\msagent_*)、JARM/JA3 TLS フィンガープリント、YARA ルールで Beacon を検出します。合法的利用にはライセンス購入と契約に基づく許可が必要です。

flowchart LR
  A[オペレーター] --> B[Team Server]
  B -->|Malleable C2 プロファイル| C[Beacon ペイロード]
  C -->|フィッシング / エクスプロイト| D[被害ホスト]
  D -->|スリープ + ジッター チェックイン<br/>HTTPS / DNS| B
  D -->|SMB 名前付きパイプ| E[ピア Beacon]
  E --> F[横展開<br/>権限昇格]
  F --> G[目的:<br/>ランサムウェア / 情報持ち出し]