hunting-for-cobalt-strike-beacons

使用默认 TLS 证书签名（序列号 8BB00EE）、JA3/JA3S/JARM 指纹、HTTP C2 配置文件模式匹配、信标抖动分析和命名管道检测，通过 Zeek、Suricata 和 Python PCAP 分析检测 Cobalt Strike 信标网络活动。

9 stars

bykillvxk

View on GitHub Installation ↓

Best use case

hunting-for-cobalt-strike-beacons is best used when you need a repeatable AI agent workflow instead of a one-off prompt.

Teams using hunting-for-cobalt-strike-beacons should expect a more consistent output, faster repeated execution, less prompt rewriting.

When to use this skill

You want a reusable workflow that can be run more than once with consistent structure.

When not to use this skill

You only need a quick one-off answer and do not need a reusable workflow.
You cannot install or maintain the underlying files, dependencies, or repository context.

Installation

Claude Code / Cursor / Codex

$curl -o ~/.claude/skills/hunting-for-cobalt-strike-beacons/SKILL.md --create-dirs "https://raw.githubusercontent.com/killvxk/cybersecurity-skills-zh/main/skills/hunting-for-cobalt-strike-beacons/SKILL.md"

Manual Installation

Download SKILL.md from GitHub
Place it in .claude/skills/hunting-for-cobalt-strike-beacons/SKILL.md inside your project
Restart your AI agent — it will auto-discover the skill

How hunting-for-cobalt-strike-beacons Compares

Feature / Agent	hunting-for-cobalt-strike-beacons	Standard Approach
Platform Support	Not specified	Limited / Varies
Context Awareness	High	Baseline
Installation Complexity	Unknown	N/A

Frequently Asked Questions

What does this skill do?

Where can I find the source code?

You can find the source code on GitHub using the link provided at the top of the page.

SKILL.md Source

# 狩猎 Cobalt Strike 信标

## 概述

Cobalt Strike 是红队和威胁行为者最常用的命令与控制框架。其主要 payload——Beacon，使用可配置的 HTTP/HTTPS/DNS 配置文件与团队服务器通信，这些配置文件可模拟合法流量。然而，默认配置和行为模式仍可通过 TLS 证书分析（默认序列号 8BB00EE）、JA3/JA3S 指纹识别、信标间隔抖动分析和 HTTP 可延展配置文件模式匹配来检测。本技能涵盖使用 Zeek 网络日志、Suricata IDS 规则和基于 Python 的 PCAP 分析来识别网络流量中信标回调的检测能力建设。

## 前置条件

- 安装了 JA3 和 HASSH 包的 Zeek 6.0+
- 带 Emerging Threats 规则集的 Suricata 7.0+
- Python 3.9+ 及 scapy 和 dpkt 库
- 网络流量捕获（PCAP）或实时 Zeek 日志
- 用于信标评分的 RITA（Real Intelligence Threat Analytics）
- 带已知 Cobalt Strike IOC 的威胁情报 feeds

## 步骤

### 步骤 1：TLS 证书分析
使用 Zeek ssl.log 中的 JA3S 指纹、证书序列号和 JARM 指纹检测默认 Cobalt Strike 证书。

### 步骤 2：信标间隔分析
分析连接时间模式，识别具有可配置抖动的规律性回调间隔，这是信标行为的典型特征。

### 步骤 3：HTTP 配置文件检测
将 HTTP 请求模式（URI 路径、请求头、User-Agent）与已知的可延展 C2 配置文件进行匹配。

### 步骤 4：关联并评分
将多个指标（TLS + 时序 + HTTP 配置文件）组合为综合信标置信度评分。

## 预期输出

包含检测到的信标候选项的 JSON 报告，内容涵盖置信度评分、TLS 指纹、时序分析、HTTP 配置文件匹配和建议响应措施。

Related Skills

performing-threat-hunting-with-yara-rules

from killvxk/cybersecurity-skills-zh

使用 YARA 模式匹配规则在文件系统和内存转储中狩猎恶意软件、可疑文件和入侵指标。涵盖规则编写、yara-python 扫描以及与威胁情报源的集成。

performing-threat-hunting-with-elastic-siem

from killvxk/cybersecurity-skills-zh

使用 KQL/EQL 查询、检测规则和 Timeline 调查在 Elastic Security SIEM 中执行主动威胁狩猎，识别绕过自动检测的威胁。适用于 SOC 团队针对特定 ATT&CK 技术进行狩猎、调查异常行为，或使用 Elasticsearch 和 Kibana Security 验证检测覆盖缺口。

hunting-living-off-the-land-binaries

from killvxk/cybersecurity-skills-zh

检测 Windows 事件日志和 Sysmon 遥测数据中对离地攻击（Living Off The Land Binaries，LOLBAS）的滥用，包括 certutil、wmic、mshta、regsvr32 和 rundll32 等工具。通过将进程创建事件与 LOLBAS 项目数据库交叉比对来构建检测规则。适用于针对无文件攻击技术的威胁狩猎或构建 SIEM 检测规则的场景。

hunting-for-webshells-in-web-servers

from killvxk/cybersecurity-skills-zh

通过扫描高熵值文件、可疑的 PHP/JSP/ASP 模式（eval、base64_decode、system、passthru）、 Web 根目录中近期修改的文件以及异常文件大小，检测植入 Web 服务器的 Webshell（网页后门）。使用香农熵（Shannon entropy）计算标记混淆载荷，并通过正则表达式模式匹配已知 Webshell 特征。