Beacon C2
Implant na przejętym hoście, który okresowo „dzwoni do domu” do serwera C2. Ikoniczną implementacją jest Cobalt Strike Beacon. Sleep + jitter (losowe opóźnienie), by uniknąć wykrycia anomalii sieciowych.
Sleep 60 s + 30% jitteru = od 42 do 78 s między zgłoszeniami. Profil Malleable C2: dopasowuje ruch beacona tak, by „wyglądał” jak ruch Office365, Slacka czy Binga. Funkcje beacona: dostęp do systemu plików, wstrzykiwanie do procesów, ruch boczny, keylogging, zrzuty ekranu, kradzież poświadczeń.
Wykrywanie: analiza szeregów czasowych połączeń wychodzących o nienaturalnej regularności (Microsoft Defender for Endpoint, CrowdStrike Falcon). Beacony działające wyłącznie w pamięci (bez operacji na dysku) utrudniają analizę śledczą. Nowoczesne beacony używają HTTPS, własnego przypinania certyfikatów i domain frontingu.