Europol och en rad polismyndigheter i olika länder har slagit till mot Cobalt Strike-servrar som används av kriminella för att ta sig in andras datorsystem. Sammanlagt så har 593 enskilda IP-adresser blockerats i ett försök att toppa användandet av detta säkerhetsverktyg ute på nätet.

Cobalt Strike red teaming tool är ett säkerhetsverktyg, en mjukvara, som används för att testa säkerheten hos datorsystem. Det är ett populärt kommersiellt verktyg utvecklat av säkerhetsföretaget Fortra och är tänkt att användas för att hjälpa legitima IT-säkerhetsexperter att utföra attacksimuleringar som identifierar svagheter i system. I fel händer kan dock verktyget användas för att genomföra riktiga attacker och äldre versioner, olicensierade versioner av Cobalt Strike har snabbt blivit ett populärt verktyg för kriminella för att ta sig in i andras datorsystem och det finns dedikerade servrar ute på nätet som används för att attacker.

Analayserades

I slutet av juni så samlades all sådan trafik ute på nätet in och analyserades. Under hela veckan 24-28 juni flaggade polisen kända IP-adresser förknippade med kriminell aktivitet, tillsammans med en rad domännamn som används av kriminella grupper. Totalt 690 IP-adresser flaggades och knöts till internetleverantörer i 27 länder.

I slutet av veckan hade 593 av dessa adresser tagits ner i det som kallas Operation Morpheus där brottsbekämpande myndigheter från Australien, Kanada, Tyskland, Nederländerna, Polen och USA deltog under ledning av Storbritanniens National Crime Agency.

Flera privata bolag var också med – BAE Systems Digital Intelligence, Trellix, Spamhaus, abuse.ch och The Shadowserver Foundation och erbjöd hjälp via deras förbättrade skanning, telemetri och analysmöjligheter för att identifiera Cobalt Strike-servrar som används olagligt.

Detta är det andra stora tillslaget just mot Cobalt Strike-servrar ute på nätet. I april 2023 ledde bland andra Microsoft en operation ute på nätet som stängde ned ett stort antal servrar. Microsoft kunde då konstatera att Cobalt Strike användes va vad som antogs vara statsunderstödda hackare från Kina, Ryssland, Iran och Nordkorea.

Länkar

• National Crime Agency
• Europol