Golang 信标与 VS Code 隧道:追踪利用可信基础设施的 Cobalt Strike 服务器

Hunt.io 发现使用 Cobalt Strike 4.10 的团队服务器：水印 688983459 全网仅另有 5 个 IP 使用；域名冒充知名品牌，疑似用于钓鱼攻击。

Hunt 分析 Golang 编写的 SparkRAT：该开源 RAT 在 GitHub 上有 400+ 分支，被 Microsoft、SentinelOne、AhnLab 等归因的活动所使用；文章介绍其默认 8000 端口、WebSocket/HTTP(S) 通信及登录页响应特征等检测方法。

Hunt 在搜寻 IOX 副本时发现一处开放目录，内含两个 SuperShell（即 GOREVERSE）载荷和一个 Linux ELF Cobalt Strike beacon；文章讲解了通过 /supershell/login 特征识别其 C2 面板的方法。

Hunt 实战指南：介绍如何检测为 Cobalt Strike 场景打造的开源 C2 重定向器 RedGuard，解释重定向器如何隐藏真实 C2 服务器，并给出发现这类基础设施的实用方法。

Hunt 介绍其识别与追踪恶意 C2 服务器的方法：从 TLS 证书、HTTP 头、SSH 密钥到 JARM/JA4x 指纹与 TCP banner，并以 Gh0st、ShadowPad 及 Octopus C2 等案例加以说明。

Hunt 宣布推出 C2 Feed 情报源：文章回顾其识别与追踪恶意 C2 服务器的方法，并说明该 feed 如何把相关情报打包提供给防御者，用于阻断攻击者基础设施。