以新冠疫苗接种通知为诱饵的Cobalt Strike木马分析

rule Cobalt_Strike_20210720
{
    meta:    
        description = "CS_shellcode"
    strings:
        $a1 = {FC 48 83 E4 F0}
        $a2 = {65 48 8B 52 60 48 8B 52 18 48 8B 52 20}
        $a3 = {48 83 EC 20 41 52 FF E0}
        $a4 = {48 8B 52 20 8B 42 3C 48 01 D0 66 81 78 18 0B 02}
    condition:
        all of them
}

        此次分析样本为CS马，样本会加载黑客服务器上的远程代码并执行。灵活度高，可执行任意代码，免杀效果较强，建议及时对该C2通信进行拦截。建议终端用户不要点击下载不明来历软件或未知邮件附件，下载软件尽量去厂商官网下载；不随意点击不明链接，陌生文件下载运行前可使用文件威胁分析平台进行检测（https://ti.dbappsecurity.com.cn/），避免感染病毒；定期查杀病毒，清理可疑文件，备份数据。

安恒应急响应中心

2021年07月