What is Cobalt Strike?

Cobalt Strike

malware OpenTrojan Threat Intelligence 更新于 2026-09-07

商业对手模拟框架（MITRE S0154），被网络犯罪分子和 APT 大量滥用；Beacon 植入体提供 HTTP/DNS/SMB 命令与控制（C2）、令牌与 UAC 滥用、PowerShell 执行、键盘记录和横向移动。

来源归属

来源类型: MITRE
来源: MITRE ATT&CK · CISA · Microsoft
置信度: high

Source: MITRE ATT&CK · CISA · Microsoft · Confidence: high

安全时间线

2012-01 discovered 首次观察到 Cobalt Strike（MITRE S0154 创建于 2017 年 12 月 14 日）
2026-09-07 updated 档案扩展，加入 MITRE ATT&CK v19 技术和防御指引

快速解答

Cobalt Strike（MITRE S0154）是一款商业对手模拟框架——即其 Beacon 植入体——被威胁行为者和勒索软件行动滥用于命令与控制（C2）、凭据窃取、横向移动和数据外泄；它覆盖了 ATT&CK 战术的完整范围，是入侵响应报告中最常被观察到的 RAT 之一。

定义

Cobalt Strike 是一款商业化的、功能齐全的远程访问工具，自称是“旨在执行定向攻击并模拟高级威胁行为者后渗透行动的对手模拟软件”。其交互式后渗透能力（Beacon 植入体及其组件）覆盖了 ATT&CK 战术的完整范围，经常被网络犯罪分子和 APT 滥用。

概述

Cobalt Strike（MITRE S0154）是一款商业化的、功能齐全的远程访问工具，其宣传语为”旨在执行定向攻击并模拟高级威胁行为者后渗透行动的对手模拟软件”。其交互式后渗透能力——以 Beacon 植入体为核心——在单一集成系统内覆盖了 ATT&CK 战术的完整范围。Cobalt Strike 并非开源；然而破解/泄露的副本被网络犯罪分子和 APT 广泛滥用，它是勒索软件和入侵事件中最常被观察到的工具之一。

除自身能力外，Cobalt Strike 还利用 Metasploit 和 Mimikatz 等其他知名工具来扩展凭据窃取与执行能力。

能力

通过 HTTP/HTTPS、DNS 和点对点 SMB 命名管道实现的 Beacon C2，可配置为高度隐蔽（抖动、休眠、可变形配置（malleable profiles），可模仿 OCSP 等合法流量）。
通过 UAC 绕过技术、令牌假冒/窃取、make-and-impersonate 令牌和父进程 PID 伪造实现权限提升。
在内存中执行（PowerShell/VBScript，不写入磁盘）、VBA 宏执行以及命令行交互。
通过键盘记录、浏览器枢转（Cookie/会话窃取），以及与 Mimikatz 集成进行凭据转储来实现凭据访问。
发现与收集：账户发现、文件/目录发现、主机数据收集，以及组织为大小受限传输的外泄。
防御规避：XOR/AES-256 CBC + HMAC-SHA-256 加密、Base64 编码、进程参数伪造以及放置文件的时间戳篡改。
载荷投递：通过 BITSAdmin 下载托管 beacon，并通过入口工具传输投递附加载荷。

技术

Cobalt Strike 映射到范围广泛的 ATT&CK 技术。检测中最常被滥用的包括：

技术	ID	用途
Web 协议	T1071.001	在标准端口上使用可变形配置的 HTTP/HTTPS C2
DNS	T1071.004	DNS 封装的 C2 协议
PowerShell	T1059.001	在远程主机上内存执行载荷（不写入磁盘）
绕过用户账户控制	T1548.002	通过已知 UAC 绕过技术提升权限
父进程 PID 伪造	T1134.004	在替代的父进程身份下启动进程
对称加密	T1573.001	对任务指令使用 AES-256 CBC + HMAC-SHA-256
入口工具传输	T1105	下载并投递附加载荷
键盘记录	T1056.001	通过键盘记录器模块跟踪按键
进程参数伪造	T1564.010	伪造所启动进程的命令行
BITS 任务	T1197	通过 BITSAdmin 下载托管的 Beacon 载荷
浏览器会话劫持	T1185	浏览器枢转以继承 Cookie 和已认证会话

防御观察

网络：beacon 流量通常使用带抖动的周期性信标间隔；HTTP C2 可能模仿 OCSP 或其他良性服务；DNS C2 会产生高流量或异常的查询模式。
主机：可疑的 rundll32.exe、powershell.exe 或 regsvr32.exe 命令行、异常的父子进程关系、以伪造参数启动的进程，以及新增的 Windows 服务。
凭据：异常的 LSASS 访问或 Mimikatz 活动、令牌假冒以及计划任务/注册表持久化。

检测与调查

追踪 C2 指标：信标（beaconing）、可变形配置流量模式、指向解析为动态或与电子邮件无关基础设施的域名的 DNS 查询。
检查父子进程树和命令行中 beacon 风格的执行（例如不带 DLL 的 rundll32.exe、PowerShell 下载 cradle）。
收集可疑二进制文件并计算哈希；在 IOC Lookup 中查询并与已公开的 Cobalt Strike 哈希比对。
遵循恶意软件调查指南，并与攻击活动：Cobalt Strike Keygen 关联。

缓解措施

启用并强制部署带行为分析的端点检测与响应（EDR），并配置反信标/网络检测规则。
限制并记录 PowerShell（Constrained Language Mode、脚本块日志记录），并在可能的情况下阻止仅内存运行的工具。
应用最小权限原则，强制应用允许列表，并监控令牌操纵和 UAC 绕过。
隔离管理网络并限制出站流量，使 C2 通道难以轻易访问互联网。
保持软件打补丁；Cobalt Strike 历史上曾利用 Java 和 Windows 提权漏洞。

调查路径

恶意软件（Cobalt Strike）
   ↓
提取工件（哈希、C2 域名、进程树）
   ↓
技术归因（T1071.001、T1059.001、T1548.002 …）
   ↓
IOC Lookup / DNS Lookup / Hash Checker
   ↓
与攻击活动和行为者关联
   ↓
检测与遏制

恶意软件情报

家族: Cobalt Strike

别名: Beacon

技术: T1548.002, T1548.003, T1134.001, T1134.003, T1134.004, T1087.002, T1071.001, T1071.002, T1071.004, T1197, T1185, T1059.001, T1059.003, T1059.005, T1059.006, T1543.003, T1132.001, T1005, T1001.003, T1030, T1140, T1573.001, T1573.002, T1203, T1068, T1083, T1564.010, T1070.006, T1105, T1056.001, T1027

目标: Windows 终端与服务器（主要）, 跨平台 Beacon 构建也曾在 Linux 和 macOS 上被观察到

行为:

Beacon 植入体使用自定义 C2 协议，封装在 HTTP/HTTPS、DNS 或 SMB 命名管道（点对点）通道中，运行于标准分配端口
通过多种已知技术绕过 UAC；使用令牌假冒/窃取、make-and-impersonate 令牌以及父进程 PID 伪造（Parent PID Spoofing）以在替代的父进程身份下运行
通过 PowerShell（不写入磁盘）、VBA、命令 Shell、Python 和 JavaScript profiler 在内存中执行载荷
使用 AES-256 CBC 配合 HMAC-SHA-256 加密任务指令，使用 RSA PKCS1 加密发送至 C2 的数据；对 shellcode 和配置使用 XOR；C2 流量使用 Base64/URL 安全 Base64/NetBIOS 编码
浏览器枢转（browser pivoting）并注入用户浏览器，以继承 Cookie、已认证的 HTTP 会话和客户端 SSL 证书
键盘记录、文件与目录发现以及主机数据收集；对放置的文件进行时间戳篡改（timestomp），并以伪造的命令行启动进程
通过 BITSAdmin 下载托管的 Beacon 载荷；向受害机器投递附加载荷（入口工具传输）
滥用或利用 Mimikatz 和 Metasploit 的功能进行凭据窃取与执行

参考资料

还有后续问题？

向 OpenTrojan 证据驱动的助手询问本主题——回答会引用其来源。

就此向 AI 提问发起调查