C2 e beaconing: il canale di comando

19 febbraio 2025 · 1 min di lettura · #malware #c2 #detection

Dopo la compromissione, l'impianto (agent/beacon) deve ricevere comandi. Il Command & Control è il canale; la sfida per l'attaccante è non sembrare anomalo.

Come si nasconde

Il beacon contatta il server a intervalli regolari con jitter (variazione casuale) per non essere periodico. Il canale imita traffico legittimo: HTTPS verso domini credibili, domain fronting, DNS tunneling, o servizi cloud leciti (Slack, GitHub) come dead drop. Il malleable profile di Cobalt Strike modella richieste che sembrano normali.

ogni ~60s ± jitter:  GET /api/v2/status  (in realtà: prendi task)
                     POST /submit        (in realtà: esfiltra output)

Difesa

Analisi del beaconing: connessioni regolari verso lo stesso host, JA3/TLS fingerprint anomali, volumi e timing sospetti. Proxy con ispezione TLS, DNS monitoring per il tunneling, threat intel sui domini C2. La regolarità è il tallone d'Achille del beacon.

« torna alla home