Cobalt Strike: Vom Pentest-Tool zur Angreifer-Waffe – welche Spuren es hinterlässt

Ein Pentester setzt Cobalt Strike ein, um Schwachstellen aufzudecken. Ein Ransomware-Affiliate setzt es ein, um ein Netzwerk zu übernehmen. Das Werkzeug steht auf beiden Seiten – und taucht deshalb immer wieder in Sicherheitsvorfällen auf. Dieser Beitrag zeigt, wie es funktioniert, woran Sie es erkennen und was nach einem Fund zählt.

Was ist Cobalt Strike?

Cobalt Strike ist ein kommerzielles Werkzeug für Angriff-Simulationen und Red-Team-Einsätze. Es gehört heute zum US-Softwarekonzern Fortra. Sicherheitsteams setzen es ein, um reale Angreifer nachzuahmen und ihre Abwehr zu testen. Kriminelle missbrauchen dagegen gecrackte Versionen, um Netzwerke zu kontrollieren und Ransomware vorzubereiten.

Kern des Werkzeugs ist der sogenannte Beacon. Er läuft unauffällig auf einem kompromittierten Windows-Rechner und nimmt Befehle von einem Server der Angreifer entgegen. Fortra prüft jeden Käufer und verpflichtet ihn auf Nutzungsbeschränkungen und Exportkontrollen. Genau deshalb greifen Kriminelle zu illegalen Kopien.

Für Unternehmen heißt das: Ein Cobalt-Strike-Fund ist nicht automatisch ein Pentest. Ohne beauftragten Test ist er ein deutliches Zeichen für einen laufenden Angriff.

Raphael Mudge entwickelte Cobalt Strike 2012. Im März 2020 übernahm der Softwareanbieter HelpSystems das Produkt, der heute als Fortra firmiert. Seitdem erscheinen regelmäßig neue Versionen mit erweiterten Tarnfunktionen.

Im legitimen Einsatz bildet ein Red Team mit Cobalt Strike einen echten Angreifer nach. Es dringt kontrolliert ins Netz ein, bewegt sich unauffällig und versucht, festgelegte Ziele zu erreichen. Das Blue Team, also die Verteidiger, soll den Angriff erkennen. Am Ende steht ein Bericht mit konkreten Lücken in Technik und Abläufen.

Warum nutzen Kriminelle ein legales Pentest-Tool?

Cobalt Strike bietet Angreifern drei Vorteile. Erstens ist es ausgereift: Planung, Steuerung und Auswertung eines Angriffs laufen über eine gemeinsame Oberfläche. Zweitens ist es flexibel, denn Nutzer passen Kommunikation und Verhalten fein an. Drittens fällt es im Netzwerk nicht sofort auf, weil es auch im legitimen Red Teaming zum Einsatz kommt.

Kriminelle verwenden in der Regel gecrackte oder geleakte Versionen. Microsoft beobachtete, dass Ransomware-Gruppen wie Conti und LockBit solche Kopien einsetzten. Im April 2023 erwirkten Microsoft, Fortra und das Health-ISAC deshalb einen Gerichtsbeschluss gegen Server mit illegalen Versionen.

Ende Juni 2024 folgte die Operation Morpheus unter Führung der britischen National Crime Agency. Europol koordinierte die Aktion. Die Ermittler meldeten 690 IP-Adressen an Provider in 27 Ländern, 593 davon gingen vom Netz.

Solche Aktionen verkleinern das Angebot, beenden den Missbrauch aber nicht. Alte gecrackte Versionen kursieren weiter in Foren. Für Verteidiger hat das einen Vorteil: Ältere Versionen tragen oft bekannte Merkmale, die Sicherheitsprodukte erkennen.

Wichtig für Sie: Nicht jeder Einsatz ist kriminell. Ein beauftragter Penetrationstest oder ein Red-Team-Projekt nutzt Cobalt Strike legitim. Klären Sie deshalb bei jedem Fund zuerst, ob ein solcher Auftrag läuft.

Cobalt Strike vs. Metasploit

Metasploit ist ein Open-Source-Framework von Rapid7 für Pentests. Es konzentriert sich auf das Ausnutzen von Schwachstellen. Cobalt Strike setzt danach an: Es steuert den Angriff, nachdem der erste Zugang steht. Metasploit ist frei verfügbar, Cobalt Strike kostet Lizenzgebühren. Viele Red Teams nutzen beide Werkzeuge in Kombination.

Wie funktioniert ein Cobalt-Strike-Beacon?

Der Beacon ist das Herzstück. Angreifer schleusen ihn über eine Phishing-Mail, eine Schwachstelle oder eine andere Schadsoftware auf den ersten Rechner. Dort läuft er meist nur im Arbeitsspeicher und hinterlässt kaum Dateien.

Der Beacon meldet sich in festen Intervallen bei einem Server der Angreifer, dem sogenannten C2-Server. Fachleute sprechen von Command and Control. Bei jedem Kontakt fragt er neue Befehle ab und liefert Ergebnisse zurück. Eine zufällige Verzögerung, der Jitter, verschleiert das Muster.

Angreifer können das Verhalten des Beacons zudem über Profile anpassen. Damit ähnelt der Datenverkehr etwa dem Abruf einer bekannten Webseite oder eines Cloud-Dienstes. Genau diese Anpassbarkeit macht Cobalt Strike für Kriminelle attraktiv und für Verteidiger anspruchsvoll.

Ein Beacon kann zudem weitere Beacons steuern. So entsteht eine Kette über mehrere Rechner. Fällt ein Glied aus, bleibt der Zugang über andere Rechner bestehen. Deshalb reicht es nie, nur den ersten gefundenen Rechner zu bereinigen.

Für die Kommunikation stehen mehrere Wege offen:

• HTTP und HTTPS: Der Beacon tarnt sich als normaler Webverkehr.
• DNS: Befehle und Daten reisen in DNS-Anfragen, die selten jemand prüft.
• SMB über Named Pipes: Rechner im internen Netz verbinden sich untereinander. Nur ein übergeordneter Beacon spricht direkt mit dem Internet.

Wer einen „Beacon-Virus“ meldet, meint meist genau diese Komponente. Technisch handelt es sich um einen Fernsteuerungs-Agenten. Ähnliche Funktionen bieten Open-Source-Alternativen wie Sliver von Bishop Fox, die Angreifer ebenfalls einsetzen.

Was machen Angreifer mit Cobalt Strike im Netzwerk?

Nach dem ersten Zugang beginnt die Post-Exploitation. Das Ziel: mehr Rechte, mehr Rechner, wertvolle Daten. Typische Schritte sind:

1. Umgebung erkunden: Angreifer listen Benutzer, Gruppen, Server und Freigaben auf.
2. Zugangsdaten auslesen: Cobalt Strike bringt Funktionen des bekannten Werkzeugs Mimikatz mit. Damit lesen Angreifer Passwort-Hashes und Tickets aus dem Speicher. Mimikatz ist ein frei verfügbares Werkzeug, das Anmeldedaten aus Windows-Systemen extrahiert.
3. Lateral Movement: Mit diesen Daten bewegen sie sich seitlich durch das Netz. Dabei greifen sie auf Windows-eigene Wege zurück, ähnlich wie das Administrationswerkzeug PsExec.
4. Code einschleusen: Per Process Injection oder DLL Injection verstecken sie Schadcode in legitimen Prozessen.
5. Ransomware vorbereiten: Angreifer deaktivieren Sicherheitssoftware, sichern Daten nach außen und verteilen die Verschlüsselung.

Angreifer handeln schnell: Laut Sophos lag die mittlere Verweildauer bis zur Entdeckung zuletzt bei drei Tagen. Jede Stunde ohne Erkennung vergrößert den Schaden.

Woran erkennen Sie Cobalt Strike?

Cobalt Strike hinterlässt Spuren – vor allem, wenn Angreifer Standardeinstellungen nutzen. Diese Merkmale helfen bei der Erkennung:

• Regelmäßige Verbindungen: Ein Rechner kontaktiert in gleichmäßigen Abständen dieselbe Adresse. Auch mit Jitter bleibt ein Muster erkennbar.
• Auffällige Named Pipes: Standardnamen wie „msagent_“ oder „postex_“ deuten auf Cobalt Strike hin.
• Injizierte Prozesse: Prozesse wie rundll32.exe ohne Parameter oder unerwartete Speicherzugriffe auf fremde Prozesse.     Netzwerk-Fingerabdrücke: Verschlüsselte Verbindungen lassen sich über JA3-Fingerabdrücke zuordnen. Auch Standard-Zertifikate verraten ungeübte Angreifer.

Für die Erkennung auf Windows-Rechnern eignet sich das kostenlose Microsoft-Werkzeug Sysmon. Mit passender Konfiguration protokolliert es etwa das Anlegen und Verbinden von Named Pipes (Ereignisse 17 und 18). YARA-Regeln helfen, Beacon-Code im Arbeitsspeicher oder in Dateien zu finden.

Auch Proxy- und DNS-Protokolle liefern Hinweise. Auffällig sind viele kleine Anfragen an dieselbe, kaum bekannte Domain. Ebenso verdächtig sind Verbindungen zu frisch registrierten Adressen. Forensiker werten zusätzlich Speicherabbilder aus. Mit spezialisierten Werkzeugen lesen sie daraus die Beacon-Konfiguration samt C2-Adressen aus.

Am wirksamsten ist die Kombination: Eine EDR-Lösung auf den Endgeräten, ein Security Operations Center, das Warnungen rund um die Uhr bewertet, und gezieltes Threat Hunting. Erfahrene Angreifer ändern Standardwerte. Dann zählt das Verhalten mehr als einzelne Indicators of Compromise.

Cobalt Strike gefunden: Was jetzt?

Ein Fund von Cobalt-Strike-Malware ohne beauftragten Test ist ein Notfall. Er bedeutet meist: Der Angreifer ist bereits im Netz und bereitet den nächsten Schritt vor. Diese Maßnahmen haben sich bewährt:

1. Auftrag prüfen: Läuft ein Pentest oder Red-Team-Projekt? Die Antwort kostet eine Minute und vermeidet Fehlalarme.
2. Isolieren statt ausschalten: Trennen Sie betroffene Rechner vom Netz, lassen Sie sie aber eingeschaltet. Der Beacon lebt oft nur im Arbeitsspeicher.
3. Arbeitsspeicher sichern: Eine forensische Speicherabbildung bewahrt Beacon-Konfiguration und C2-Adressen. Daraus lässt sich ablesen, welche Server die Angreifer nutzen.
4. Weitere Systeme prüfen: Suchen Sie die C2-Adressen in Firewall- und Proxy-Logs. So finden Sie andere infizierte Rechner.  Erstzugang finden: Ohne Ursache kehrt der Angreifer zurück. Phishing, Fernzugänge und ungepatchte Systeme sind häufige Einfallstore.
5. Privilegierte Konten absichern: Gehen Sie davon aus, dass Administrator-Passwörter kompromittiert sind.

Genauso wichtig ist, was Sie vermeiden:

• Den Rechner nicht neu aufsetzen, bevor jemand den Arbeitsspeicher gesichert hat.
• Die C2-Adresse nicht selbst aufrufen oder untersuchen. Das warnt die Angreifer.
• Keine Entwarnung nach dem ersten bereinigten Rechner. Verkettete Beacons sitzen oft auf mehreren Systemen.

Am Ende einer forensischen Untersuchung steht ein klares Bild: Wann begann der Angriff, welche Systeme sind betroffen, welche Daten flossen ab. Dieser Befund ist die Grundlage für die Bereinigung, für Meldungen an Behörden und für die Versicherung.

FAQs – Häufige Fragen zu Cobalt Strike

Ist Cobalt Strike legal?

Ja, Cobalt Strike ist ein kommerzielles Werkzeug für Angriffssimulationen und Red-Team-Einsätze. Der Hersteller Fortra prüft jeden Käufer. Kriminelle nutzen dagegen gecrackte oder geleakte Versionen.

Was ist ein Cobalt-Strike-Beacon?

Der Beacon ist ein Fernsteuerungs-Agent auf einem kompromittierten Rechner. Er meldet sich in festen Intervallen beim C2-Server der Angreifer, holt Befehle ab und liefert Ergebnisse zurück. Meist läuft er nur im Arbeitsspeicher.

Woran erkenne ich Cobalt Strike im Netzwerk?

Typische Hinweise sind regelmäßige Verbindungen zu derselben Adresse, auffällige Named Pipes, injizierte Prozesse und bekannte Netzwerk-Fingerabdrücke. Erfahrene Angreifer ändern Standardwerte, deshalb zählt vor allem das Verhalten.

Was ist der Unterschied zwischen Cobalt Strike und Metasploit?

Metasploit ist ein freies Open-Source-Framework, das sich auf das Ausnutzen von Schwachstellen konzentriert. Cobalt Strike ist kostenpflichtig und steuert den Angriff, nachdem der erste Zugang steht.

Soll ich einen infizierten Rechner ausschalten?

Nein. Trennen Sie ihn vom Netz, lassen Sie ihn aber eingeschaltet. Der Beacon lebt oft nur im Arbeitsspeicher. Eine Speichersicherung bewahrt Konfiguration und C2-Adressen für die forensische Analyse. ab, also davon, ob verwertbare Daten überhaupt vorliegen.

Autorin Joanna Lang-Recht

Joanna Lang-Recht, M.Eng., M.A., arbeitet als Director IT-Forensics bei der intersoft consulting services AG. Als Vorfall-Expertin des Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie zertifizierte Cyber Security Expert (CSE) ist sie auf die Analyse und Aufklärung komplexer Cyberangriffe spezialisiert.