Cobalt Strike 操作者在中国、俄罗斯及全球基础设施中利用 PowerShell 加载器

研究人员在一台曝光不足 24 小时的日本服务器上发现 Rust 编译的 Windows 加载器,用于投递 Cobalt Strike「Cat」;服务器还存有 sqlmap、dirsearch 与 Web-SurvivalScan,目标为韩国政府与商业机构,部分攻击疑似得手。

Hunt 在搜寻 IOX 副本时发现一处开放目录，内含两个 SuperShell（即 GOREVERSE）载荷和一个 Linux ELF Cobalt Strike beacon；文章讲解了通过 /supershell/login 特征识别其 C2 面板的方法。

Hunt 实战指南：介绍如何检测为 Cobalt Strike 场景打造的开源 C2 重定向器 RedGuard，解释重定向器如何隐藏真实 C2 服务器，并给出发现这类基础设施的实用方法。

NetSPI 的 Ceri Coburn 提出新型 BOF PE 参考设计：同一链接产物既可独立运行也可在 C2 代理内执行，完整支持 C++ 与异常处理，通过 beacon 导入库解决符号解析难题，弥补传统 Beacon Object File 的维护痛点。

NetSPI 发布 SQLC2 概念验证：用 SQL Server（含 Azure SQL）同时充当控制端与代理端实现 C2 通道，借助企业防火墙普遍放行 *.database.windows.net 1433 端口的特性伪装成正常数据库流量，支持远程执行命令并回收结果。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。