C2 beacon
Ele geçirilmiş makinede periyodik olarak C2 sunucusunu “arayan” implant. Cobalt Strike Beacon bunun simge uygulamasıdır. Ağ anomalisi tespitinden kaçınmak için uyku + jitter (rastgele gecikme) kullanır.
60 sn uyku + %30 jitter = iki bağlanma arasında 42-78 sn. Malleable C2 profili: beacon trafiğini Office365, Slack, Bing trafiği “gibi” göstermek için uyarlar. Beacon özellikleri: dosya sistemi erişimi, süreç enjeksiyonu, yanal hareket, tuş kaydı, ekran görüntüsü, kimlik bilgisi hırsızlığı. Tespit: dışarı giden bağlantılarda olağandışı düzenlilik arayan zaman serisi analizi (Microsoft Defender for Endpoint, CrowdStrike Falcon). Yalnızca bellekte çalışan beacon’lar (diske hiç yazmayan) adli analizi zorlaştırır. Modern beacon’lar HTTPS + özel sertifika sabitleme + domain fronting kullanır.