Cobalt Strike

En avril 2023, Microsoft, Fortra et Health-ISAC obtiennent d'un tribunal fédéral de New York une ordonnance contre les copies piratées de Cobalt Strike et l'infrastructure qui les fait tourner. Fin juin 2024, l'opération Morpheus, coordonnée par Europol, signale 690 adresses IP et en fait mettre 593 hors ligne. Cobalt Strike est un outil commercial de simulation d'attaque, créé en 2012 par Raphael Mudge pour les équipes de red team, racheté en 2020 par HelpSystems, devenu Fortra. Son agent, la balise (beacon), s'installe sur une machine compromise et reçoit ses ordres d'un serveur de commande et contrôle, par des canaux réglables qui imitent un trafic web ordinaire. Des versions piratées circulent depuis des années, et l'outil est devenu le C2 préféré des groupes rançongiciels : stable, documenté, connu des affiliés, prêt à l'emploi. Pour l'assureur, son intérêt est chronologique. Quand l'équipe de forensique trouve une balise Cobalt Strike, ses artefacts datent souvent l'intrusion bien avant le chiffrement, de plusieurs jours ou semaines, et donnent le temps de présence de l'attaquant. Cette date pèse sur la garantie : période de la police et antériorité, déclaration du risque faite alors que le réseau était déjà compromis. Elle décide parfois aussi si plusieurs incidents forment un seul sinistre. Sa présence seule ne prouve pas une attaque, puisque des tests d'intrusion autorisés l'emploient légitimement, et l'expert vérifie qui l'a déposée avant de conclure. À ne pas confondre avec le rançongiciel lui-même : la balise observe, prépare et déplace l'attaquant dans le réseau, le programme de chiffrement arrive à la fin, souvent déposé par elle.