Beacon Implant (Implant C2)

Définition

Un beacon implant est un agent malveillant léger déployé sur un système compromis, conçu pour établir et maintenir une communication discrète avec un serveur de commande et contrôle (C2). Contrairement aux backdoors traditionnelles qui maintiennent une connexion permanente, le beacon opère en mode pull : il contacte périodiquement le C2 à intervalle aléatoire (jittering) pour recevoir des instructions, ce qui rend sa détection par analyse de trafic réseau beaucoup plus difficile. Cobalt Strike Beacon est l'implémentation la plus connue, utilisée aussi bien par des équipes red team légitimes que par des groupes APT. Les beacons modernes supportent le staging en mémoire (reflective DLL injection), la communication via HTTPS, DNS ou SMB, et l'impersonation de trafic HTTP légitime grâce au malleable C2 profiles. La détection repose sur l'analyse comportementale du trafic réseau et les solutions EDR capables d'inspecter la mémoire des processus.