IT-Security: Verdeckt angreifen mit Beacon Object Files
Damit Angriffe mittels Command-and-Control-Frameworks erfolgreich sind, muss der Schadcode unentdeckt bleiben. Er lässt sich in Beacon Object Files verstecken.
- Moritz Thomas
- Patrick Eisenschmidt
In Red-Teaming-Operationen simuliert ein versiertes Expertenteam realitätsnahe Cyberangriffe und versucht, kritische Infrastrukturen und sensible Datenbestände zu kompromittieren. Ziel ist es, die Abwehr gegen fortgeschrittene Bedrohungen (Advanced Persistent Threats, APTs) zu evaluieren und zu stärken. Während Penetrationstests viele Schwachstellen erkennen sollen und oft automatisierte Werkzeuge einsetzen, fokussiert sich das Red Teaming darauf, komplexe Angriffsszenarien nachzustellen und sogenannte Kill Chains aufzuzeigen, die den Zugang zu für das Unternehmen lebenswichtigen Systemen oder Daten ermöglichen.
Dazu nutzen Red Teams Command-and-Control-Frameworks (C2/C&C), die eine Fernsteuerung kompromittierter Systeme erlauben und Bewegungen innerhalb von Netzwerken ermöglichen. Ein C2-System setzt sich typischerweise aus einem Teamserver zur zentralen Steuerung und Implants auf den kompromittierten Systemen zusammen. Letztere führen die vom Teamserver übermittelten Befehle aus und senden Daten zurück an den Server.
- Viele Methoden der CodeausfĂĽhrung auf kompromittierten Systemen werden von AV- und EDR-Software erkannt.
- Beacon Object Files (BOFs) sind eine Technik, Schadcode auszufĂĽhren, indem er als Object File vorkompiliert und dynamisch nachgeladen wird.
- Erstmals hat das Command-and-Control-Framework Cobalt Strike diese Technik eingesetzt. Inzwischen gibt es BOFs auch für Brute Ratel, allerdings ist die Schnittstelle inkompatibel.
Angesichts der diversifizierten Angriffstechniken und Computerumgebungen müssen Red Teams mehrere C2-Frameworks beherrschen und ihre jeweiligen Stärken und Schwächen kennen. Eines der bekanntesten Frameworks, Cobalt Strike (CS), wurde 2012 veröffentlicht und bietet umfassende Unterstützung bei der Organisation und Strukturierung von Implants über verschiedene Kampagnen zur Angriffssimulation hinweg, erleichtert das Sammeln und Exfiltrieren von Daten und unterstützt Red Teamer bei ihrer Ausbreitung innerhalb von Unternehmensnetzwerken.
Das war die Leseprobe unseres heise-Plus-Artikels "IT-Security: Verdeckt angreifen mit Beacon Object Files". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
