随着Cobalt Strike的检测率提高，攻击者开始转向Sliver渗透测试工具。Sliver，由BishopFox开发，因其跨平台和逃避检测的能力受到APT及犯罪团伙的青睐，如DEV-0237（FIN12）和Conti勒索团伙。微软提供了检测Sliver活动的TTPs和狩猎查询，以帮助防御者加强网络防护。
8月25日消息，攻击者逐渐弃用Cobalt Strike渗透测试套件，转而使用不太知名的类似框架。开源跨平台工具Sliver正取代Brute
Ratel成为受攻击者青睐的武器。
在过去的几年里，Cobal
Strike被各类攻击者滥用（包括勒索软件操作），攻击者利用它在被攻击的网络上投放 “信标”，横向移动到高价值系统。
但防守方已经掌握检测和阻止Cobalt Strike攻击的方法，攻击者转向尝试其他可以逃避端点检测和响应（EDR）和防病毒解决方案的工具。
微软的一份报告指出，从国家支持的团体到网络犯罪团伙，攻击者越来越多地使用由BishopFox网络安全公司的研究人员开发的，基于Go语言的Sliver安全测试工具。
微软追踪到一个采用Sliver的团体是DEV-0237。该团伙也被称为FIN12，与各种勒索软件运营商有联系。
该团伙曾通过各种恶意软件（BazarLoader和TrickBot）分发各种勒索软件运营商（Ryuk、Conti、Hive、Conti和BlackCat）的勒索软件有效载荷。
FIN12团伙分发的各类勒索软件有效载荷
根据英国政府通信总部（GCHQ）的一份报告，APT29（又名Cozy Bear、The Dukes、Grizzly
Steppe）也使用Sliver进行攻击。
微软指出， Conti勒索团伙在最近的攻击活动中部署了Sliver
，
最低0.47元/天 解锁文章
扫一扫
873
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
