Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Sliver sempre più usato al posto di Cobalt Strike

Ago 29, 2022 Redazione news Malware, News, RSS 0

Lo strumento open source per test di penetrazione Sliver è sempre più utilizzato dai pirati in alternativa a Cobalt Strike, più noto e contrastato dai sistemi di sicurezza

Microsoft ha osservato che il framework di comando e controllo (C2) Sliver viene ora adottato e integrato in campagne di intrusione da hacker legati a Stati nazione e gruppi di criminalità informatica che si dedicano al ransomware e alle estorsioni, per eludere il rilevamento.

I ricercatori riferiscono di aver visto questi attori utilizzare Sliver con, o in sostituzione di, Cobalt Strike. Data la popolarità di Cobalt Strike come strumento di attacco, anche le difese contro di esso sono migliorate nel tempo. Sliver rappresenta quindi un’alternativa interessante per i cyber criminali che cercano un set di strumenti meno conosciuto con una bassa barriera d’ingresso.

Reso pubblico per la prima volta alla fine del 2019, Sliver è un framework open source. Sviluppato da BishopFox, è stato creato per fornire ai professionisti della sicurezza che fanno test di penetrazione un meccanismo per imitare le azioni dei pirati nei loro ambienti. Tuttavia, analogamente a quanto accade con Cobalt Strike, le sue caratteristiche lo rendono anche uno strumento appetibile per i pirati stessi.

Sliver è disponibile su GitHub e include molte caratteristiche tipiche dei framework C2, come il supporto per più operatori simultanei, più tipi di listener, estensioni sviluppate dall’utente e generazione di payload.

Poiché Sliver è scritto nel linguaggio di programmazione Go (GoLang), i suoi impianti sono compatibili con più sistemi operativi, tra cui Windows, macOS e Linux. Per impostazione predefinita, gli operatori possono generare impianti in diversi formati, tra cui Shellcode, eseguibili, librerie condivise/DLL e servizi.

Sliver supporta anche gli stager, payload più piccoli con poche funzionalità incorporate, destinati principalmente a recuperare e lanciare un impianto completo. Gli stager sono utilizzati da molti framework C2 per ridurre al minimo il codice malevolo incluso in un payload iniziale (per esempio, in un’e-mail di phishing). Questo può rendere più difficile il rilevamento basato sui file.

Da dicembre 2020, Microsoft ha osservato che molti cyber criminali hanno inserito Sliver nel loro arsenale. Tra i suoi utilizzatori c’è il prolifico gruppo di Ransomware-as-a-Service (RaaS) DEV-0237. Più recentemente, vari criminali hanno sfruttato Sliver e vari strumenti post-compromissione utilizzando il malware Bumblebee (noto anche come COLDTRAIN) come caricatore di accesso iniziale.

Condividi l'articolo