Cobalt Strike
Qué es
Cobalt Strike es una herramienta comercial de acceso remoto que se presenta como software de simulación de adversarios. Los atacantes la utilizan para ejecutar ataques dirigidos y emular las acciones de post-explotación de actores de amenazas avanzados.
Cómo llega
El agente Beacon se carga en memoria mediante la explotación de una vulnerabilidad o la ejecución de un cargador de shellcode. No toca el disco y se refleja en la memoria de un proceso.
Qué hace una vez dentro
Permite la ejecución de comandos, registro de teclas, transferencia de archivos y escaneo de puertos. Facilita la escalada de privilegios, el movimiento lateral y el uso de herramientas como Mimikatz y Metasploit.
A quién ataca
Opera en plataformas Windows, Linux y macOS.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | Windows Management Instrumentation | T1047 |
| Ejecución | PowerShell | T1059.001 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Visual Basic | T1059.005 |
| Ejecución | Python | T1059.006 |
| Ejecución | JavaScript | T1059.007 |
| Ejecución | Native API | T1106 |
| Ejecución | Exploitation for Client Execution | T1203 |
| Ejecución | Service Execution | T1569.002 |
| Persistencia | Office Template Macros | T1137.001 |
| Persistencia | Windows Service | T1543.003 |
| Escalada de privilegios | Exploitation for Privilege Escalation | T1068 |
| Escalada de privilegios | Bypass User Account Control | T1548.002 |
| Escalada de privilegios | Sudo and Sudo Caching | T1548.003 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Indicator Removal from Tools | T1027.005 |
| Sigilo | Process Injection | T1055 |
| Sigilo | Dynamic-link Library Injection | T1055.001 |
| Sigilo | Process Hollowing | T1055.012 |
| Sigilo | Timestomp | T1070.006 |
| Sigilo | Domain Accounts | T1078.002 |
| Sigilo | Local Accounts | T1078.003 |
| Sigilo | Token Impersonation/Theft | T1134.001 |
| Sigilo | Make and Impersonate Token | T1134.003 |
| Sigilo | Parent PID Spoofing | T1134.004 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | BITS Jobs | T1197 |
| Sigilo | Rundll32 | T1218.011 |
| Sigilo | User Activity Based Checks | T1497.002 |
| Sigilo | Process Argument Spoofing | T1564.010 |
| Sigilo | Reflective Code Loading | T1620 |
| Debilitamiento de defensas | Modify Registry | T1112 |
| Debilitamiento de defensas | Code Signing | T1553.002 |
| Debilitamiento de defensas | Disable or Modify Tools | T1685 |
| Acceso a credenciales | LSASS Memory | T1003.001 |
| Acceso a credenciales | Security Account Manager | T1003.002 |
| Descubrimiento | System Service Discovery | T1007 |
| Descubrimiento | Query Registry | T1012 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | Remote System Discovery | T1018 |
| Descubrimiento | Network Service Discovery | T1046 |
| Descubrimiento | System Network Connections Discovery | T1049 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | Local Groups | T1069.001 |
| Descubrimiento | Domain Groups | T1069.002 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | Domain Account | T1087.002 |
| Descubrimiento | Network Share Discovery | T1135 |
| Descubrimiento | Software Discovery | T1518 |
| Movimiento lateral | Remote Desktop Protocol | T1021.001 |
| Movimiento lateral | SMB/Windows Admin Shares | T1021.002 |
| Movimiento lateral | Distributed Component Object Model | T1021.003 |
| Movimiento lateral | SSH | T1021.004 |
| Movimiento lateral | Windows Remote Management | T1021.006 |
| Movimiento lateral | Pass the Hash | T1550.002 |
| Recolección | Data from Local System | T1005 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Screen Capture | T1113 |
| Recolección | Browser Session Hijacking | T1185 |
| Comando y control | Protocol or Service Impersonation | T1001.003 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | File Transfer Protocols | T1071.002 |
| Comando y control | DNS | T1071.004 |
| Comando y control | Internal Proxy | T1090.001 |
| Comando y control | Domain Fronting | T1090.004 |
| Comando y control | Non-Application Layer Protocol | T1095 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Standard Encoding | T1132.001 |
| Comando y control | Protocol Tunneling | T1572 |
| Comando y control | Symmetric Cryptography | T1573.001 |
| Comando y control | Asymmetric Cryptography | T1573.002 |
| Exfiltración | Scheduled Transfer | T1029 |
| Exfiltración | Data Transfer Size Limits | T1030 |
Fuente: MITRE ATT&CK v20 (S0154).
Grupos que la usan
APT29Threat Group-3390Sandworm TeamFIN6menuPassFIN7APT32CopyKittensLeviathanAPT37APT19DarkHydrusCobalt GroupTA505APT41Wizard SpiderChimeraIndrik SpiderMustang PandaAquatic PandaEarth LuscaLuminousMothMustard TempestCinnamon TempestToddyCatPlayBlackByteStorm-1811Storm-0501MirrorFace
Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 280 |
| Dominios | 6 |
| URLs | 2 |
| Hashes de archivos | 7 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento