糖果、恶作剧与威胁：Cobalt Strike 与潜伏在眼皮底下的地精

Cobalt Strike 狩猎指南第 1 部分：用 AttackCapture 从开放目录中的 PowerShell 加载器与配置脚本入手，结合 SSL 证书与指纹 pivot 绘制活跃 C2 服务器地图。

Hunt.io 曝光一起多层次攻击：开放目录中的可执行文件经计划任务运行 PowerShell，'Dark Mode' Chrome 扩展由开源间谍代码改造（可键盘记录、截屏），另有冒充 Cobalt Strike 文档的诱饵投递副本。

Hunt.io 检查一台暴露 15,923 个文件的服务器：渗透测试工具之外，还发现针对埃及、摩尔多瓦、尼泊尔、尼日利亚、加拿大和乌克兰政府官员的凭证与钓鱼目标名单。

Hunt 通过 Geacon_Pro 默认的 “foren.zik” TLS 证书追踪这一 Golang 版 Cobalt Strike 实现，发现多个活跃服务器与开放目录，揭示其对 Linux 和 Windows 系统的持续威胁。

Hunt 在搜寻 IOX 副本时发现一处开放目录，内含两个 SuperShell（即 GOREVERSE）载荷和一个 Linux ELF Cobalt Strike beacon；文章讲解了通过 /supershell/login 特征识别其 C2 面板的方法。

一个未防护的目录暴露了红队工具集：Cobalt Strike、Havoc、Villain 等 C2 框架，以及 SSH 目录、bash 历史、BloodHound 数据与 Kerberoast 哈希；该目录由 Justin Elze 率先发现，凸显操作安全（OPSEC）失误。