C2-Beacon
Ein Implantat auf einem kompromittierten Host, das sich periodisch bei seinem C2-Server „meldet". Der Cobalt-Strike-Beacon ist die ikonische Umsetzung. Sleep plus Jitter (zufällige Verzögerung) sollen die Erkennung anhand von Netzwerkanomalien verhindern.
Sleep 60 Sekunden plus 30 % Jitter ergibt Check-ins alle 42 bis 78 Sekunden. Ein Malleable-C2-Profil passt den Beacon-Verkehr so an, dass er wie Office365-, Slack- oder Bing-Traffic aussieht. Beacon-Funktionen: Dateisystemzugriff, Process Injection, Lateral Movement, Keylogging, Screenshots, Credential-Diebstahl. Erkennung: Zeitreihenanalyse ausgehender Verbindungen mit auffällig gleichmäßigem Muster (Microsoft Defender for Endpoint, CrowdStrike Falcon). Memory-only-Beacons (ohne Disk-I/O) erschweren die forensische Analyse erheblich. Moderne Beacons setzen auf HTTPS, eigenes Certificate Pinning und Domain Fronting.