关于cobaltstrike 3.14生成的https远控木马流量的疑问

2020-07-15 10:45:50 21 怕冷的企鹅 7304

最近在看cobaltstrike的马的流量特征，看http的马一切很正常，但是测试https马的时候，发现会发起一个请求地址为：
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
这是微软的地址，难道是因为证书原因吗，哪位大佬解释一下。

类别安全研究

关于作者

怕冷的企鹅48篇文章536篇回复

怕冷的企鹅

评论21次

要评论？请先登录或注册

21楼

Qyying
2020-7-29 15:05

证书问题

回复|@ta|踩(0)|顶(0)
20楼

bawosongnile
2020-7-22 10:16

注入问题？

回复|@ta|踩(0)|顶(0)
19楼

Cherishao
2020-7-21 15:34

yikexiaobaicai：
师傅这个看流量的工具是什么呀
回复|@ta
1

这个是 any run 沙箱，微步在线、VirusTotal 都有类似的功能

回复|@ta|踩(0)|顶(0)
18楼

hancool
2020-7-21 12:45

以前也注意到流量里有这个问题，不过没有深入去想；现在来看应该是cs马调用WinInet相关的功能，有HTTPS就涉及到证书的问题，这个应该是由xi统底层调用的。可以对比一下HTTP马是否会执行证书查询。

回复|@ta|踩(0)|顶(0)
17楼

5inb4d
2020-7-17 13:42

https://support.microsoft.com/zh-cn/help/2677070/an-automatic-updater-of-untrusted-certificates-is-available-for-window 这个应该是去下载受信任的根证书列表，至于为什么去下就不太清楚了。。。

回复|@ta|踩(0)|顶(0)
16楼

怕冷的企鹅
2020-7-17 09:29

tangshoupu：
这是cS启动时更新检测版本的吧
回复|@ta
1

看清楚，是exe马发起的，能解释的就是证书

回复|@ta|踩(0)|顶(0)
15楼

tangshoupu
2020-7-16 16:28

这是cS启动时更新检测版本的吧

回复|@ta|踩(0)|顶(0)
14楼

imp0rt
2020-7-15 18:06

c2伪装的?

回复|@ta|踩(0)|顶(0)
13楼

编号九伍二柒
2020-7-15 17:02

babadu：
authrootstl.cab这个文件是解决xi统证书的，应该是证书问题，同好奇你使用的分析工具是啥
回复|@ta
1

https://app.any.run/

回复|@ta|踩(0)|顶(0)
12楼

babadu
2020-7-15 16:36

authrootstl.cab这个文件是解决xi统证书的，应该是证书问题，同好奇你使用的分析工具是啥

回复|@ta|踩(0)|顶(0)
11楼

cc7
2020-7-15 15:39

远控马改下gh0st不就好啦简单方便还免杀

回复|@ta|踩(0)|顶(0)
10楼

cc7
2020-7-15 15:38

是证书的问题不要怀疑了

回复|@ta|踩(0)|顶(0)
9楼

Anonymous
2020-7-15 14:33

Anonymous：
我之前就发帖问过，没找到原因，自己手动破解CS还是这样
回复|@ta
1
怕冷的企鹅：
老哥最后破解官方的也是这样？
回复|@ta
2

对，最开始以为下载的有问题，论坛热心大佬给了一个原版，我跟着网上教程一步步破解，最后生成https的发现还是这样。。。。

回复|@ta|踩(0)|顶(0)
8楼

怕冷的企鹅
2020-7-15 13:57

Anonymous：
我之前就发帖问过，没找到原因，自己手动破解CS还是这样
回复|@ta
1

老哥最后破解官方的也是这样？

回复|@ta|踩(0)|顶(0)
7楼

怕冷的企鹅
2020-7-15 13:56

whojeff：
c2伪装的？老哥加载了c2的配置嘛？
回复|@ta
1

默认的，配置文件都没指定

回复|@ta|踩(0)|顶(0)
6楼

whojeff
2020-7-15 13:18

c2伪装的？老哥加载了c2的配置嘛？

回复|@ta|踩(0)|顶(0)
5楼

Anonymous
2020-7-15 11:48

我之前就发帖问过，没找到原因，自己手动破解CS还是这样

回复|@ta|踩(0)|顶(0)
4楼

yikexiaobaicai
2020-7-15 11:32

师傅这个看流量的工具是什么呀

回复|@ta|踩(0)|顶(0)
3楼

怕冷的企鹅
2020-7-15 11:31

JamVayne：
是不是抓到了机器本身发出的xi统更新请求
回复|@ta
1

由这个exe发起的

回复|@ta|踩(0)|顶(0)
2楼

Mature
2020-7-15 11:30

JamVayne：
是不是抓到了机器本身发出的xi统更新请求
回复|@ta
1

那进程名不是显示是cs马吗

回复|@ta|踩(0)|顶(0)