Бесплатная альтернатива Cobalt Strike в руках хакеров может стать смертельным оружием для компаний.
https://www.securitylab.ru/upload/ib...u6xb30rpv2.jpg
Sliver , кроссплатформенный инструмент с открытым исходным кодом для красной команды, предоставляет все основные возможности для моделирования противника. Некоторые из них включают:<ul><li>динамическую генерацию кода;</li>
</ul><ul><li>обфускацию во время компиляции;</li>
</ul><ul><li>многопользовательск� �й режим;</li>
</ul><ul><li>поэтапную и нестадийную полезную нагрузку;</li>
</ul><ul><li>интеграцию с центром сертификации Let's Encrypt.</li>
</ul>Sliver предлагает множество функций, среди них:<ul><li>безопасный сервер управления и контроля (C&amp;C) через протоколы mTLS, WireGuard, HTTP(S) и DNS;</li>
</ul><ul><li>миграцию и внедрение процессов Windows;</li>
</ul><ul><li>манипулирование пользовательскими токенами;</li>
</ul><ul><li>диспетчер пакетов расширений (арсенал), который позволяет легко устанавливать различные сторонние инструменты, в том числе Ghostpack (Rubeus, Seatbelt, SharpUp, Certify и другие).</li>
</ul>Злоумышленники, использующие Sliver
Исследовательские группы по всему миру наблюдали за несколькими группами угроз, активно использующими Sliver.<ul><li>В июне 2022 года в ходе своей кампании AvosLocker использовала несколько различных инструментов, в том числе Cobalt Strike, Sliver и несколько коммерческих сетевых сканеров;</li>
</ul><ul><li>В том же месяце группа DriftingCloud распространяла 3 семейства вредоносных программ с открытым исходным кодом – PupyRAT , Pantegana и Sliver;</li>
</ul><ul><li>В октябре 2021 года TA551 (Shathak), развернула Sliver сразу после получения первоначального доступа для большей гибкости;</li>
</ul><ul><li>В мае 2021 года группировка APT29 (SVR) использовала Sliver для сохранения постоянства в скомпрометированной сети;</li>
</ul><ul><li>Также Sliver разворачивается с помощью загрузчика Bumblebee, который разработала Conti в качестве замены BazarLoader .</li>
</ul>Идентификация и смягчение последствий
Платформа создает уникальные сетевые и системные подписи, что позволяет успешно определить цифровые отпечатки C&amp;C-сервера. Чтобы защититься от атак с использованием Sliver, пользователям рекомендуется с осторожностью обращаться с файлами, происходящими из внешних источников, таких как электронная почта и сайты.