在博文中，SentinelOne 表示：”在近期的调查中，我们发现威胁者滥用 Windows Defender 命令行工具 MpCmdRun.exe 来破译和加载 Cobalt Strike”。 这种攻击方式和此前曝光的 VMWare CLI 案件非常相似。攻击者利用 Log4j 漏洞下载 MpCmdRun，执行从 Command-and-Control (C2) 服务器下载恶意 DLL 文件和经过加密的 Cobalt Strike payload 文件，从而感染受害者的系统。 滥用的 MpCmd.exe 可以侧载经过改装的 mpclient.dll，该 dll 文件从 c 15.log 文件中加载和解密 Cobalt Strike Beacond。
阅读更多（Read More）
