Cobalt Strike存在DoS漏洞，可用于关闭攻击者的服务器

Cobalt Strike是一种合法的渗透测试工具，也被攻击者用于在部署信标后执行post-exploitation任务，提供对受感染设备的持久远程访问。

近日安全研究人员发现Cobalt Strike服务器的4.2和4.3版本存在拒绝服务（DOS）漏洞，编号为CVE-2021-36798（Hotcobalt）。该漏洞会使现有的信标无法与其 C2 服务器通信，阻止安装新的信标，并有可能干扰正在进行的操作。

该漏洞允许攻击者在特定Cobalt Strike安装的服务器上注册假信标。通过向服务器发送虚假任务，包括：获取进程列表、运行命令、执行横向移动等，通过这些虚假任务耗尽可用内存来使服务器崩溃，导致已安装的信标无法与C2 服务器通信，受害者执行重新启动的操作，但是，重新启动不足以抵御此漏洞，因为攻击者有可能反复瞄准服务器，直到漏洞被修补或信标的配置改变。其中任何一个操作都会使现有的实时信标过时，因为在使用新配置更新它们之前，它们将无法与服务器通信。

由于 Cobalt Strike被攻击者大量用于各种恶意目的，因此执法和安全研究人员也可以利用 Hotcobalt 漏洞来关闭恶意基础设施。