01 ·
アクティブフィンガープリンティングによる特定
既知のTeam Serverの特徴を持つポートとSSL証明書をグローバルにスキャンします。BeaconのHTTPヘッダー、JARMフィンガープリント、リスナーのパターンを照合します。
攻撃者のサーバーが どこに潜んでいるかを把握しています
Fortgaleは世界中で稼働する800台以上のCobaltStrikeサーバーを毎日特定し、監視しています。 設定、ウォーターマーク、プロファイルを抽出し、攻撃側のインフラを防御のためのインテリジェンスに変えます。
CTIの標準
STIX/TAXII 2.1
MITRE ATT&CK
ISO 27001
追跡の技術
JARM
Malleable C2 Profile
ウォーターマーク相関分析
C2を追跡する理由
単体のIoCから攻撃者のプロファイルへ
単体の悪意あるIPアドレスは、ひとつのアラートにすぎません。ウォーターマーク、キャンペーン、既知の攻撃者と結びついたIPアドレスは、運用に使えるインテリジェンスになります。
02 ·
ウォーターマークは攻撃者の身元
各Team Serverからライセンスのウォーターマーク、ペイロードの種類、スリープ、ジッター、Malleable Profileを抽出します。ウォーターマークにより、異なるキャンペーンを同一のオペレーターに結びつけます。
03 ·
IoCからインテリジェンスのプロファイルへ
IPアドレスやドメインだけではありません。攻撃者の構造化されたプロファイル（クラスター、グループ、TTP、インフラの重複）をSOCのアラートに組み込みます。
実績 · 追跡の規模
C2インフラの追跡を支える4つの数字
800+
毎日追跡している
稼働中のCobaltStrike C2サーバー
稼働中のCobaltStrike C2サーバー
1,000+
四半期ごとに
新たに特定するサーバー
新たに特定するサーバー
4
監視対象のフレームワーク
CobaltStrike · BruteRatel · Havoc · Metasploit
CobaltStrike · BruteRatel · Havoc · Metasploit
サーバー単位
特定したサーバーごとに
ビーコン設定の抽出・分析を実施
ビーコン設定の抽出・分析を実施
プロファイリングのパイプライン
4つのステップ · グローバルスキャンから運用インテリジェンスまで
01 · 検知
サーバーの特定
アクティブフィンガープリンティングによるグローバルスキャン：ポート、SSL証明書、JARM、BeaconのHTTPヘッダー、リスナーのパターン。
02 · 抽出
設定の抽出
各Team Serverに問い合わせを行い、ウォーターマーク、ペイロードの種類、スリープ時間、ジッター、名前付きパイプ、DNSビーコン、Malleable C2 Profileを抽出します。
03 · 相関分析
相関分析と攻撃者の特定
ウォーターマークはオペレーターの指紋です。異なるサーバーで同じウォーターマークが見つかれば、同一の攻撃者と判断できます。インフラの重複も浮かび上がります。
04 · 運用
運用インテリジェンス
成果物：ブロック可能なIoC、攻撃者のプロファイル、SOC向けのコンテキスト、観測済みのパターンにもとづく脅威ハンティング。STIX/TAXIIで配信します。
beacon_config_extract.jsonCobaltStrike · WM 1580103824
{
"BeaconType": "HTTPS",
"Port": 443,
"SleepTime": 60000,
"Jitter": 20,
"MaxGetSize": 1403644,
"Watermark": 1580103824,
"C2Server": "update-cdn[.]global,/dpixel",
"HttpPostUri": "/submit.php",
"MallProfile": "amazon",
"UserAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64)",
"NamedPipe": "\\pipe\\msagent_*",
"DnsBeacon": "",
"SpawnTo": "svchost.exe"
// → ウォーターマークをキャンペーンEU-2025-047と照合
// → 帰属：ランサムウェアクラスター A
}その他のC2フレームワーク
CobaltStrikeだけではない3つの重要なフレームワーク
使われているのはCobaltStrikeだけではありません。BruteRatel、Havoc、Metasploitは、犯罪グループとAPTの間で利用が広がっています。
犯罪グループ · APT
BruteRatel C4
CobaltStrikeに代わる商用フレームワーク。Black BastaやAPTが採用しています。EDRの回避機能を標準で備え、AMSIの回避、ダイレクトシステムコール、スリープ難読化に対応します。
国家支援型APT
Havoc Framework
オープンソースで、国家支援型の攻撃者の間で利用が広がっています。Demon Agent、Reflective DLL、スリープ難読化、プロセスインジェクション、HTTPS・SMB・DNSによる通信。
犯罪グループ · 機会主義的な攻撃者
Metasploit
ペネトレーションテスト用のフレームワークですが、犯罪者が侵入後の活動に使っています。Meterpreter、リバースシェル、ステージ型ペイロード、侵入後モジュール。
防御への活用
C2インフラの追跡がお客様を守る6つの方法
01
直接適用できるIoC
稼働中のC2のIPアドレス、ドメイン、証明書を、STIX/TAXIIでお客様のSIEM、EDR、ファイアウォールへ配信します。攻撃の前に予防的にブロックできます。
02
SOCアラートへのコンテキスト付与
アラートが既知のC2のIPアドレスと一致した場合、SOCは攻撃者のプロファイルを受け取ります。グループ、標的となりやすい業種、TTP、インフラの重複です。
03
プロアクティブな脅威ハンティング
観測済みのビーコン、スリープ、ジッター、名前付きパイプのパターンをハンティングクエリに変換し、お客様のインフラで能動的に探索します。
04
キャンペーンの早期警戒
特定の業種を狙う新しいC2クラスターが現れた場合、その業種のお客様に個別のアドバイザリをお届けします。
05
脅威アクターのレポート
フレームワークを使う攻撃者の技術プロファイル：ウォーターマーク、インフラ、MITRE ATT&CKに対応づけたTTP、標的となる業種、帰属。
06
インシデント対応の迅速化
インシデント対応の際、C2フレームワークとウォーターマークを特定することで攻撃者の特定と封じ込めが早まります。
統合的な防御
C2インフラの追跡が防御全体を支えます
よくある質問
ご相談の前に知っておきたいこと
FortgaleはどのようにCobaltStrikeサーバーを特定していますか？
アクティブフィンガープリンティングを用いています。既知のTeam Serverの特徴を持つポートとSSL証明書のスキャン、BeaconのHTTPヘッダー、JARM、Malleable C2 Profileを組み合わせます。特定した各サーバーに問い合わせを行い、設定全体を抽出します。
C2の設定による攻撃者のプロファイリングとは何ですか？
CobaltStrikeのBeaconには、購入されたライセンスに紐づく固有のウォーターマークが含まれています。異なるサーバーやキャンペーンで同じウォーターマークを照合することで、同一のオペレーターに帰属させることができます。グループ間のインフラの重複も把握できるようになります。
BruteRatelがCobaltStrikeより危険とされるのはなぜですか？
最新のEDR（Defender、CrowdStrike、SentinelOne）の回避を前提に設計されているためです。ダイレクトシステムコール、AMSIの回避、スリープ難読化を備えています。Black Bastaや高度なランサムウェアグループが採用しています。
CobaltStrike以外にはどのC2フレームワークがありますか？
BruteRatel C4、Havoc（オープンソース、国家支援型の攻撃者が利用）、Metasploit（犯罪者が侵入後の活動に利用）、Sliver、Nighthawk、Deimos、そして新たに現れる独自のインプラントです。
C2インフラの追跡は企業の防御にどのように活用されますか？
3つの使い方があります。直接適用できるIoC（事前にブロックできるIPアドレスやドメイン）、SOCのアラートに付与するコンテキスト（攻撃者の情報）、プロアクティブな脅威ハンティング（すでに観測されたビーコンや設定のパターン）です。
リサーチ · C2インフラ
活動中の脅威アクターのC2インフラを可視化しています
ドメイン、IPアドレス、TLS証明書、ネットワークのフィンガープリント。実際のインシデントで観測したC2インフラを継続的に調査しています。Operation Storming Tideをはじめとするレポートでは、攻撃に使われる前に捕捉したインフラを詳しく解説しています。
MacSync: when the victim types the attack chain
No exploit. No attachment. No phishing email. In this campaign the threat actor needs the victim to do exactly one thing: copy a command from an installation guide and paste it i…
記事を読む →
Kali365: when the session becomes the new credential
ABSTRACT The FBI recently issued an advisory on Kali365, a Phishing-as-a-Service platform that abuses legitimate Microsoft OAuth flows to bypass multi-factor authentication. Kali…
記事を読む →
Phishing Kits Bypass MFA and Hijack companies's accounts in minutes
Intelligence · Phishing Kit · Q1 2026 April 24, 2026Fortgale CTI14 min readRPT-26-0424 Observation of the quarter The 2026 phishing ecosystem has outpaced traditional defenses. M…
記事を読む →
Investment-Targeted Phishing: How Phishing Kit Fuels Espionage in Funding Rounds
In the high-stakes world of venture capital and corporate funding, where millions hang in the balance and sensitive financial data flows freely, a new breed of cyber threat is em…
記事を読む →
Operation Storming Tide: A massive multi-stage intrusion campaign
In February 2026, the Fortgale Incident Response team investigated a multi-stage intrusion attributed to Mora_001, a Russian-origin threat actor exploiting Fortinet vulnerabiliti…
記事を読む →
Behind the Wheel: Unveiling the Supercar Phishing Kit Targeting Microsoft 365
UPDATES: 27.11.2024: As mentioned by TrustWave, "Supercar Phishing Kit" has an high level of overlapping with the most recent update of "Rockstar 2FA Phishing-as-a-Service" 26.09…
記事を読む →
C2インフラの追跡 · 運用インテリジェンス
次のCobaltStrikeサーバーはすでに準備が進んでいます
Fortgaleは、それが攻撃に使われる前に特定します。設定、ウォーターマーク、攻撃者のプロファイルを、お客様のセキュリティチームが使える運用インテリジェンスとして提供します。