0 
0 As equipes de segurança corporativa, que ao longo dos anos aprimoraram sua capacidade de detectar o uso do Cobalt Strike por adversários, também podem querer ficar de olho no “Sliver”. É uma estrutura de comando e controle (C2) de código aberto que os adversários começaram a integrar cada vez mais em suas cadeias de ataque.
“O que achamos que está impulsionando a tendência é o aumento do conhecimento do Sliver nas comunidades de segurança ofensiva, juntamente com o foco maciço no Cobalt Strike [pelos defensores]”, diz Josh Hopkins, líder de pesquisa do Team Cymru. “Os defensores agora estão tendo cada vez mais sucesso na detecção e mitigação contra o Cobalt Strike. Portanto, a transição do Cobalt Strike para estruturas como o Sliver é esperada”, diz ele.
Pesquisadores de segurança da Microsoft alertaram esta semana sobre a observação de atores do estado-nação, grupos de ransomware e extorsão e outros atores de ameaças usando o Sliver junto com – ou muitas vezes como substituto – Cobalt Strike em várias campanhas. Entre eles está o DEV-0237 (também conhecido como FIN12), um agente de ameaças com motivação financeira associado às famílias de ransomware Ryuk, Conti e Hive; e vários grupos envolvidos em ataques de ransomware operados por humanos, disse a Microsoft.
Uso crescente
No início deste ano, a equipe Cymru relatou ter observado Sliver sendo usado em campanhas direcionadas a organizações de vários setores , incluindo governo, pesquisa, telecomunicações e ensino superior. Uma campanha, entre 3 de fevereiro e 4 de março, envolveu uma infraestrutura de ataque hospedada na Rússia, enquanto outra teve como alvo entidades governamentais no Paquistão e na Turquia. Em muitos desses ataques, o Team Cymru observou Sliver sendo usado como parte da cadeia de ferramentas de infecção inicial para entregar ransomware. Em outros casos, a empresa de inteligência de ameaças descobriu que o Sliver estava sendo usado em ataques oportunistas envolvendo a exploração potencial das vulnerabilidades do Log4je do VMware Horizon.
Pesquisadores da BishopFox desenvolveram e lançaram o Sliver, como uma alternativa de código aberto ao Cobalt Strike , em 2019. A estrutura foi projetada para fornecer aos red-teamers e testers de penetração uma maneira de emular o comportamento de agentes de ameaças incorporados em seus ambientes. Mas, assim como o Cobalt Strike, esses mesmos recursos também o tornam uma ferramenta atraente de agente de ameaças.
Uma alternativa atraente para os adversários
O Sliver é escrito na linguagem de programação Go (Golang) e, portanto, pode ser usado em vários ambientes de sistema operacional, incluindo Windows, macOS e Linux. As equipes de segurança podem usar o Sliver para gerar implantes como Shellcode, Executable, Shared library/DLL e as-a-Service , disse a Microsoft. Os pesquisadores acrescentaram que Golang ajuda os adversários também por causa das ferramentas relativamente limitadas disponíveis para engenharia reversa de binários Go.
O Sliver também suporta cargas úteis menores – ou estágios – com um punhado de recursos que permitem que os operadores recuperem e lancem um implante completo.
“Stagers são usados por muitos frameworks C2 para minimizar o código malicioso incluído em uma carga inicial (por exemplo, em um email de phishing)”, disse a Microsoft. “Isso pode tornar a detecção baseada em arquivo mais desafiadora.”
O Sliver também oferece muito mais módulos integrados do que o Cobalt Strike, diz Andy Gill, engenheiro adversário da Lares Consulting; esses recursos integrados tornam mais fácil para os agentes de ameaças explorarem os sistemas e aproveitarem as ferramentas para facilitar o acesso, diz Gill. O Cobalt Strike, por outro lado, é mais uma ferramenta de carga/módulo para trazer sua própria carga útil.
“O Sliver reduz a barreira de entrada para os invasores. [Ele] oferece mais personalização em termos de entrega de carga útil e formas de adaptação de ataques para evitar defesas”, observa ele.
Mas o fator mais atraente para os agentes de ameaças atualmente é sua relativa obscuridade e a falta de trabalho que foi realizado – até agora, pelo menos – na construção de detecções para Sliver, diz Hopkins da Team Cymru. “Sliver tem muitas das mesmas capacidades que Cobalt Strike, mas sem um holofote tão grande sobre ele”, diz ele. Isso criou uma lacuna potencial na cobertura de detecção que alguns invasores estão tentando explorar.
E, finalmente, o fato de ser gratuito, de código aberto e disponível no GitHub também torna o Sliver atraente em comparação com o Cobalt Strike, que é comercial e, portanto, exige que os agentes de ameaças quebrem o mecanismo de licença toda vez que uma nova versão é lançada, diz Gill.
Cobalt Strike continua sendo o padrão ouro – mas os invasores têm outras estruturas
Ao mesmo tempo, seria um grande erro as organizações descontarem o uso adversário do Cobalt Strike, alertam os pesquisadores.
No primeiro trimestre deste ano, por exemplo, o Team Cymru observou cerca de 143 amostras de Sliver que provavelmente estavam sendo usadas como ferramenta de primeiro estágio em campanhas de ataque – em comparação com 4.455 amostras de Cobalt Strike sendo usadas para fins potencialmente maliciosos.
“Os defensores seriam imprudentes em tirar os olhos do Cobalt Strike”, diz Hopkins. “Cobalt Strike é sinônimo de – e o padrão ouro de – redes de comando e controle.”
Às vezes, as ferramentas são usadas em conjunto. Pesquisadores da Intel 471 no início deste ano observaram Sliver sendo implantado junto com Cobalt Strike, Metasploit e oTrojan bancário IcedID por meio de um novo carregador chamado ” Bumblebee “. O diretor de inteligência da empresa, Michael DeBolt, diz que a estrutura tem um recurso que provavelmente a torna especialmente útil para os agentes de ameaças.
“Sliver tem muitos recursos, [mas] um que pode ser especialmente útil é sua capacidade de limitar a execução a prazos específicos, hosts, máquinas ingressadas em domínio ou usuários”, diz ele “Esse recurso pode impedir que o implante seja executado em ambientes não intencionais, como sandboxes, o que ajuda na detecção.”
Sliver é apenas uma das várias estruturas C2 que os invasores estão usando como alternativas ao Cobalt Strike. Pesquisadores da Intel 471, por exemplo, adicionaram recentemente a detecção de uma ferramenta legítima de red-teaming chamada Brute Ratel, depois de observar alguns agentes de ameaças usando-a para fins C2.
No início deste ano, a equipe de caça a ameaças da Unidade 42 da Palo Alto Networks descobriu o que parecia ser o notório APT29 da Rússia (também conhecido como Cozy Bear) usando Brute Ratel em uma campanha de ataque.
Enquanto isso, Gills de Lares apontou para o Posh2, uma estrutura C2 que, embora não seja nova, oferece aos agentes de ameaças a chance de escapar dos mecanismos de detecção centrados no Cobalt Strike. E Hopkins, da Team Cymru, diz que sua empresa está atualmente rastreando uma estrutura C2 chamada “Mythic”, seguindo algumas indicações iniciais de adoção na comunidade de atores de ameaças.
As estruturas tendem a variar em recursos como movimento lateral, injeção e chamada, diz Gill.
“[Então], de um ponto de vista defensivo, os operadores estão melhor criando perfis e gerando assinaturas para técnicas do que analisando estruturas C2 específicas”, observa ele.
FONTE: DARK READING