Baliza C2
Implante num host comprometido que "liga para casa" para um servidor C2 periodicamente. O Cobalt Strike Beacon é a implementação mais icônica. Sleep + jitter (atraso aleatório) para driblar a detecção de anomalias na rede.
Sleep de 60 segundos + 30% de jitter = entre 42 e 78 segundos entre check-ins. Perfil malleable C2: adapta o tráfego da baliza para "parecer" tráfego do Office 365, Slack ou Bing. Recursos da baliza: acesso a sistema de arquivos, injeção de processo, movimento lateral, keylogging, captura de tela, roubo de credenciais. Detecção: análise de série temporal de conexões de saída com regularidade anormal (Microsoft Defender for Endpoint, CrowdStrike Falcon). Balizas que vivem só na memória (sem I/O em disco) dificultam a análise forense. Balizas modernas usam HTTPS + certificate pinning customizado + domain fronting.