analyzing-cobaltstrike-malleable-c2-profiles

CobaltStrike Malleable C2 プロファイルの分析

概要

Cobalt Strike Malleable C2 プロファイルは、Beacon とチームサーバー間の通信方法をカスタマイズするドメイン固有言語のスクリプトです。HTTP リクエスト／レスポンスの変換、スリープ間隔、ジッター値、ユーザーエージェント、URI パス、プロセスインジェクションの動作を定義します。脅威アクターは、Malleable プロファイルを使用して C2 トラフィックを正規のサービス（Amazon、Google、Slack）に偽装します。これらのプロファイルを分析すると、検知に役立つネットワーク指標（URI パターン、HTTP ヘッダー、POST／GET 変換、DNS 設定、プロセスインジェクション手法）が明らかになります。dissect.cobaltstrike ライブラリは、プロファイルファイルを解析し、Beacon ペイロードから設定を抽出できます。また、pyMalleableC2 は Lark 文法を使用した AST ベースの解析により、プログラムからプロファイルを操作および検証できます。

使用する場面

• Cobalt Strike Malleable C2 プロファイルの分析が必要なセキュリティインシデントを調査するとき
• この領域の検知ルールや脅威ハンティング用クエリを作成するとき
• SOC アナリストが、この種の分析に関する体系的な手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視の対応状況を検証するとき

前提条件

• dissect.cobaltstrike および／または pyMalleableC2 を含む Python 3.9 以降
• サンプルの Malleable C2 プロファイル（公開リポジトリから入手可能）
• HTTP プロトコルと Cobalt Strike Beacon の通信モデルに関する理解
• シグネチャを導入するためのネットワーク監視ツール（Suricata／Snort）
• トラフィック検証用の PCAP 分析ツール

手順

1. ライブラリをインストールします：pip install dissect.cobaltstrike または pip install pyMalleableC2
2. C2Profile.from_path("profile.profile") でプロファイルを解析します
3. HTTP GET／POST ブロックの設定（URI、ヘッダー、パラメーター）を抽出します
4. ユーザーエージェント文字列と偽装対象を特定します
5. スリープ時間、ジッターの割合、DNS Beacon の設定を抽出します
6. プロセスインジェクションの設定（spawn-to、割り当て手法）を分析します
7. 抽出したネットワーク指標から Suricata／Snort シグネチャを生成します
8. プロファイルを既知の脅威アクターのプロファイル集と比較します
9. ステージング URI とペイロード配信メカニズムを抽出します
10. IOC と推奨ネットワークシグネチャを含む検知レポートを作成します

想定される出力

抽出した C2 URI、HTTP ヘッダー、ユーザーエージェント、スリープ／ジッター設定、プロセスインジェクション設定、生成されたプロセスのパス、DNS 設定、および生成した Suricata 互換の検知ルールを含む JSON レポート。