Beaconing este comunicarea periodică, discretă, pe care un dispozitiv infectat o inițiază către serverul unui atacator, "raportând" că e activ și disponibil, și așteptând eventuale comenzi noi. Numele vine de la ideea unui semnal (beacon) trimis la intervale regulate, similar unui far care emite periodic un semnal, doar că aici scopul e să rămână cât mai discret posibil pentru cine monitorizează rețeaua.
Cum funcționează beaconing-ul?
Odată ce un malware infectează un sistem, se conectează la infrastructura de comandă și control a atacatorului, de obicei la intervale de timp stabilite dinainte — la fiecare câteva minute sau ore. Fiecare conexiune e scurtă și transmite de regulă puține date: o confirmare de prezență, urmată de verificarea existenței unor comenzi noi de executat. Pentru a evita detectarea, multe variante moderne introduc variații aleatorii ale intervalului (jitter) și deghizează traficul ca cereri web obișnuite, către servicii cloud populare. Dacă nu există nicio comandă nouă, conexiunea se închide simplu, iar dispozitivul infectat așteaptă liniștit până la următorul semnal programat, fără nicio activitate vizibilă între timp.
De ce contează?
Pentru că, deși fiecare conexiune individuală pare nesemnificativă, tiparul repetitiv, la intervale relativ constante, este unul dintre cele mai fiabile semnale pentru identificarea unui sistem compromis, chiar și atunci când malware-ul în sine reușește să evite detectarea directă. Analiza tiparelor de beaconing e adesea metoda prin care echipele de securitate descoperă o infecție activă mult înainte ca atacatorul să declanșeze acțiunea finală, precum ransomware sau exfiltrarea masivă de date. Cu cât intervalul de beaconing e mai regulat, cu atât e mai ușor de izolat statistic printre restul traficului legitim al unei rețele, mai ales pe termen lung, când tiparul devine evident la o analiză atentă a istoricului de trafic.
Cum te protejezi?
- Monitorizează prin SIEM conexiunile ieșite repetate, la intervale regulate, către aceeași destinație externă.
- Folosește o soluție EDR capabilă să coreleze comportamentul de rețea cu procesele care îl generează, nu doar volumul de trafic.
- Compară traficul observat cu indicatori de compromitere cunoscuți, actualizați constant din surse de threat intelligence.
- Limitează conexiunile ieșite ale sistemelor critice la destinații strict necesare, ca orice altă conexiune să iasă în evidență.
- Analizează statistic intervalele dintre conexiunile repetate ale aceluiași dispozitiv — regularitatea, nu volumul, e semnul cel mai relevant.
Un exemplu concret
Analiza traficului de rețea a unei firme arată că un laptop trimite, la fiecare 47 de minute, o cerere scurtă către aceeași adresă externă necunoscută, indiferent de activitatea reală a utilizatorului sau de ora din zi. Tiparul regulat, nelegat de nicio aplicație cunoscută instalată pe dispozitiv, e semnul clasic de beaconing. Investigația confirmă un malware activ de trei săptămâni, oprit înainte să primească vreo comandă de exfiltrare.
Vrei ca aceste semnale discrete să fie observate în rețeaua ta, nu ignorate? Cere monitorizare 24/7 (SOC).
Întrebări frecvente
Beaconing-ul înseamnă mereu un atac în desfășurare activă?
Nu neapărat — poate indica doar un sistem infectat care așteaptă comenzi, fără nicio acțiune vizibilă încă. Tocmai de aceea e valoros ca semnal timpuriu, detectabil înainte ca atacatorul să declanșeze faza distructivă a atacului.
De ce e greu de detectat beaconing-ul modern?
Pentru că variantele avansate introduc variații aleatorii ale intervalului și deghizează traficul ca cereri web obișnuite către servicii cloud populare, greu de distins de activitatea normală a angajaților fără instrumente dedicate de analiză.