罕见水印将 Cobalt Strike 4.10 团队服务器与持续的可疑活动关联

Hunt.io 追踪到一台 Cobalt Strike 团队服务器：其 Golang 信标滥用 Visual Studio Code Dev Tunnels 作为 C2 通道；该服务器 TLS 证书被 50+ 个 IP 共享，使用 100000 水印。

文章演示如何用 Hunt 主动发现尚未曝光的恶意基础设施：以 Microsoft 关于 Flax Typhoon 报告中的证书 CN 为线索找到 4 台未被报告的 SoftEther VPN 服务器，并通过关键词搜索发现 Cobalt Strike 相关文件。

探讨将红队钓鱼页面与载荷托管在微软受信任域名之下的 Azure 服务上，借助其良好的域名声誉绕过 Web 过滤，作为 Domain Fronting 式微后的替代方案，并给出各服务的 Talos 信誉评分参考。

Cobalt Strike 狩猎指南第 4 部分：通过 API 将 C2 情报源自动化落地——摄取、过滤并标准化为 core/network/endpoint 三类输出，接入 SIEM、IDS/EDR 与沙箱检测流程。

Cobalt Strike 狩猎指南第 3 部分：利用 C2 仪表盘与列表视图实现自动化发现——证书匹配、响应头分析与协议校验带来 90% 验证置信度，长期维持 800–1,000 台活跃服务器的基线。

Cobalt Strike 狩猎指南第 2 部分：10 余条 HuntSQL 实战配方，围绕证书复用、beacon 特征与数据富化来发现、聚类并追踪 C2 基础设施。