CobaltStrike Virus Removal Guide - Step-by-Step Removal Instructions

CobaltStrike Nedir?

CobaltStrike, ilk olarak 2012 yılında gözlemlenen bir C2 Framework'dır. Temel amacı sızma sonrası lateral movement ve persistence olan bu zararlı yazılım, Windows ortamlarını hedef almaktadır. C programlama dili ile geliştirilmiş olup C2 iletişiminde HTTPS protokolünü kullanmaktadır.

Cobalt Strike is a commercial adversary simulation framework widely abused by threat actors. Beacon payload provides full C2 with lateral movement capabilities.

Atıf / Tehdit Aktörü: NULL

Teknik Detay: Beacon payload (stageless/staged), C2 malleable profiles, Aggressor Script, process injection (various), lateral movement (psexec/wmi/winrm), credential theft (Mimikatz), HTTPS/DNS/SMB beacon channels

Nasıl Bulaşır?

• Kimlik Avı E-postaları: Sahte fatura, kargo bildirimi veya iş teklifleri içeren kötü amaçlı ekler
• Crack / Keygen: Lisanssız yazılım arayan kullanıcılara yönelik truva atı yükleniciler
• Drive-By İndirme: Zafiyetli tarayıcı eklentileri üzerinden otomatik yükleme
• Sosyal Mühendislik: Discord, Telegram, YouTube yorumları üzerinden paylaşılan bağlantılar
• USB/Harici Medya: Enfekte çıkarılabilir sürücüler aracılığıyla yayılma

Enfeksiyon Belirtileri

• Sistem performansında ani ve açıklanamayan düşüş
• Antivirüs yazılımının kendiliğinden kapanması veya güncelleme yapamaması
• Görev Yöneticisi'nde tanımadığınız yüksek CPU/RAM kullanan süreçler
• Ağ trafiğinde açıklanamayan artışlar, bilinmeyen giden bağlantılar

Dosya Hash Değerleri (Antivirüs Tespiti İçin)

Gerçek CobaltStrike örneklerinden alınan hash değerleri. Antivirüs veya EDR çözümünüzde bu imzaları kontrol edin:

Adım Adım Kaldırma Rehberi

Adım 1 — İnternet Bağlantısını Hemen Kesin

C2 sunucusuyla iletişimi durdurmak için ağ bağlantısını anında kesin. Ethernet kablosunu çekin veya Wi-Fi'yi fiziksel olarak devre dışı bırakın. Bu adım veri sızdırılmasını ve ek yük indirilmesini önler.

Adım 2 — Güvenli Modda Başlatın

Windows'u Ağ Destekli Güvenli Mod'da başlatın:

• Win + R → msconfig → Önyükleme sekmesi → "Güvenli önyükleme" → "Ağ" → Tamam → Yeniden Başlat
• Veya başlangıçta F8 (eski Windows sürümleri)

Adım 3 — CobaltStrike Sürecini Sonlandırın

Görev Yöneticisi'ni (Ctrl+Shift+Esc) açın ve şüpheli görünen süreçleri sonlandırın. RKill aracı bilinen zararlı süreçleri otomatik olarak sonlandırır ve tarama öncesinde çalıştırılması önerilir.

Adım 4 — Kötü Amaçlı Dosyaları Silin

Silinecek Dosya Yolları

Analizde CobaltStrike'ın sisteme bıraktığı tespit edilen dosya yolları:

Bu dosyaları silmeden önce Görev Yöneticisi'nden ilgili süreçleri sonlandırın.

Adım 5 — Antivirüs ile Tam Sistem Taraması

Aşağıdaki araçlarla tam sistem taraması yapın (birden fazla araç kullanmak tespit oranını artırır):

• Malwarebytes Anti-Malware
• ESET Online Scanner
• RKill

Adım 6 — Tarayıcıları Sıfırlayın

Tüm tarayıcıları fabrika ayarlarına sıfırlayın ve kaydedilmiş tüm şifreleri temizleyin:

• Chrome: Ayarlar → Gelişmiş → Ayarları sıfırla
• Firefox: Yardım → Sorun Giderme Bilgisi → Firefox'u Yenile
• Edge: Ayarlar → Ayarları Sıfırla

C2 Altyapısı — Ağ Düzeyinde Engelleme

Analizlerimizde tespit edilen CobaltStrike C2 sunucuları. Firewall, DNS filtresi veya IDS/IPS'inizde bu adresleri engelleyin:

IP Adresleri

• 185.225.17.100
• 91.215.153.46

Domain Adresleri

• www.mayerondricka.digital
• onyxtrustsec.com

Bu adresler yalnızca KEYDAL ekibinin doğruladığı örneklerden alınmıştır. Aktif durum takibi için C2 Sunucuları sayfasını kontrol edin.

Yeniden Enfeksiyonu Önleme

• İşletim sistemi ve tüm uygulamaları düzenli güncelleyin — yama yönetimi kritiktir
• Güvenilmeyen kaynaklardan kesinlikle dosya indirmeyin; crack/keygen kullanmayın
• E-posta eklerini ve bağlantılarını dikkatle inceleyin; şüpheli olanları açmayın
• Tüm hesaplarda güçlü, benzersiz şifre + 2FA kullanın
• Düzenli yedekleme yapın (3-2-1 kuralı: 3 kopya, 2 farklı ortam, 1 uzak konum)
• Kurumsal ağda EDR, SIEM, ağ segmentasyonu ve tehdit istihbaratı entegrasyonu sağlayın
• Windows SmartScreen, UAC ve Windows Defender'ı etkin tutun

Profesyonel Olay Müdahalesi: Kurumsal ortamda saldırı araştırması, adli analiz veya temizleme desteği için KEYDAL güvenlik ekibiyle iletişime geçin.

CobaltStrike — Malware Profile

Cobalt Strike red team C2. @config @connect @key-not-found marker. CreateMutexW. rpc.me potansiyel C2.

Malware Type

C2Framework

Programming Language

Java

C2 Protocol

HTTPS

Target Systems

Windows/Linux

Also Known As (AKA)

CS Beacon

Technical Details

Beacon payload (stageless/staged), C2 malleable profiles, Aggressor Script, process injection (various), lateral movement (psexec/wmi/winrm), credential theft (Mimikatz), HTTPS/DNS/SMB beacon channels

Capabilities & Behavior

Post-Exploitation

Lateral Movement

Mimikatz Entegrasyonu

Process Injection

Payload Staging

Domain Fronting

Covert Channel C2

Beacon İletişimi

C2 Servers (4 recorded servers for this family)

Address	Type	Port	Protocol	Status	Country
185.225.17.100	ip	443	HTTPS	inactive	—
91.215.153.46	ip	8443	HTTPS	inactive	—
www.mayerondricka.digital	domain	443	HTTPS	inactive	—
onyxtrustsec.com	domain	443	HTTPS	inactive	—

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.