Beacon (Cobalt Strike)

hacking

Définition

Beacon est le payload de commande et contrôle propriétaire du framework Cobalt Strike, conçu à l'origine comme outil légitime de Red Team commerciale mais massivement détourné dans son ensemble par des acteurs cybercriminels et étatiques, s'exécutant entièrement en mémoire sur les hôtes compromis sans jamais nécessairement toucher le disque sous forme de fichier persistant. Il alterne entre un mode asynchrone, où il se met en veille (sleep) pendant une durée paramétrable avec une variation aléatoire (jitter) avant de recontacter son infrastructure de commande, limitant les motifs de trafic réguliers détectables, et un mode interactif temporaire lorsqu'un opérateur souhaite exécuter des commandes en quasi temps réel. La communication s'effectue selon plusieurs canaux configurables, HTTP, HTTPS, DNS ou pair-à-pair via SMB ou TCP pour le déplacement latéral entre hôtes compromis sans nécessiter chacun un accès Internet direct. Les profils Malleable C2 permettent de personnaliser en profondeur les signatures réseau du trafic Beacon pour imiter des services légitimes et échapper aux règles de détection génériques. Ses techniques d'injection de processus et de contournement des hooks EDR (unhooking) visent à échapper à la surveillance comportementale des solutions de sécurité endpoint. La large diffusion de versions piratées de Cobalt Strike en a fait l'outil de post-exploitation le plus systématiquement retrouvé lors des investigations d'incidents ransomware.

Fonctionnement

Beacon est la charge utile post-exploitation de Cobalt Strike. Chargée en mémoire par un stager ou un artefact monolithique, elle interroge le Team Server selon un cycle sleep assorti d'un jitter aléatoire qui dilue le trafic de command and control. Les profils Malleable C2 redéfinissent en-têtes, URI et encodage pour imiter un trafic applicatif légitime.

Les canaux disponibles couvrent HTTP, HTTPS, DNS, SMB et TCP. Les Beacons SMB et TCP fonctionnent en pair-à-pair : ils ne sortent jamais du réseau et relaient leurs ordres via un tube nommé, ce qui les rend quasi invisibles depuis le périmètre.

Exploitation

Après implantation, l'opérateur enchaîne collecte d'identifiants, élévation de privilèges et mouvement latéral via WMI, PsExec ou WinRM. L'exécution privilégie le mode fork and run ou, plus discrètement, les BOF (Beacon Object Files) exécutés en ligne dans le processus hôte, ainsi que l'injection de code et le vol de jeton d'accès.

Outils

L'écosystème comprend l'Artifact Kit et le Sleep Mask Kit pour l'évasion, Mimikatz intégré, ainsi que des équivalents libres comme Sliver, Havoc ou Mythic. Côté défense, BeaconEye, Volatility et les règles YARA d'Elastic permettent l'analyse mémoire.

Détection

Empreintes JA3/JA3S et certificats TLS par défaut du Team Server
Tubes nommés stéréotypés (msagent_, postex_) et journaux Sysmon 17/18
Régularité des balises malgré le jitter, requêtes vers des domaines jeunes ou peu réputés
Régions mémoire exécutables non adossées à un fichier sur disque

Contre-mesures

Appliquez un filtrage de sortie strict avec inspection TLS et proxy authentifié, activez la protection anti-altération de l'EDR et les règles ASR de Windows Defender. Complétez par du contrôle applicatif, une segmentation réseau bloquant SMB entre postes de travail, et une chasse régulière aux anomalies mémoire.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis