Sliver , кроссплатформенный инструмент с открытым исходным кодом для красной команды, предоставляет все основные возможности для моделирования противника. Некоторые из них включают:
- динамическую генерацию кода;
- обфускацию во время компиляции;
- многопользовательский режим;
- поэтапную и нестадийную полезную нагрузку;
- интеграцию с центром сертификации Let’s Encrypt.
Sliver предлагает множество функций, среди них:
- безопасный сервер управления и контроля (C&C) через протоколы mTLS, WireGuard, HTTP(S) и DNS;
- миграцию и внедрение процессов Windows;
- манипулирование пользовательскими токенами;
- диспетчер пакетов расширений (арсенал), который позволяет легко устанавливать различные сторонние инструменты, в том числе Ghostpack (Rubeus, Seatbelt, SharpUp, Certify и другие).
Злоумышленники, использующие Sliver
Исследовательские группы по всему миру наблюдали за несколькими группами угроз, активно использующими Sliver.
- В июне 2022 года в ходе своей кампании AvosLocker использовала несколько различных инструментов, в том числе Cobalt Strike представляет собой фреймворк для проведения тестов на проникновение, позволяющий доставить на компьютер жертвы полезную нагрузку и управлять ею. Злоумышленники могут использовать Cobalt Strike для развертывания атак с расширенными постоянными угрозами (APT) против вашей организации.
» data-html=»true» data-original-title=»Cobalt Strike»>Cobalt Strike, Sliver и несколько коммерческих сетевых сканеров;
» data-html=»true» data-original-title=»Bumblebee»>Bumblebee, который разработала Conti в качестве замены BazarLoader .
Идентификация и смягчение последствий
Платформа создает уникальные сетевые и системные подписи, что позволяет успешно определить цифровые отпечатки C&C-сервера. Чтобы защититься от атак с использованием Sliver, пользователям рекомендуется с осторожностью обращаться с файлами, происходящими из внешних источников, таких как электронная почта и сайты.