Beaconing Detection

Définition

Le beaconing est le mécanisme par lequel un malware communique périodiquement avec son serveur C2 (Command and Control) pour recevoir des instructions et signaler sa présence. La détection du beaconing dans les logs réseau est l'une des techniques les plus efficaces pour identifier des systèmes compromis, en particulier lors d'infections par des APT (Advanced Persistent Threats) qui restent dormantes entre les connexions. Le principe du beaconing est simple : un malware est programmé pour contacter son C2 toutes les X unités de temps (secondes, minutes, heures). Pour éviter une détection triviale basée sur l'intervalle fixe, la plupart des malwares modernes ajoutent du jitter — une variation aléatoire de l'intervalle (par exemple ±20% de l'intervalle nominal). Cobalt Strike Beacon, l'un des outils de post-exploitation les plus répandus, implémente ce mécanisme avec des paramètres 'sleep' et 'jitter' configurables. La détection statistique du beaconing analyse les connexions réseau entre une source interne et une destination externe pour identifier des patterns temporels. Les méthodes incluent : l'analyse de la variance des intervalles entre connexions (une variance faible indique un jitter contrôlé), l'analyse spectrale (FFT - Fast Fourier Transform) pour identifier des fréquences dominantes dans la série temporelle de connexions, et la cohérence temporelle (les connexions surviennent-elles à des intervalles cohérents même sur de longues périodes). RITA (Real Intelligence Threat Analytics) est l'outil open source le plus connu pour la détection automatisée du beaconing. Il ingère des logs Zeek/Bro et calcule des scores de beaconing pour chaque paire source-destination. Les connexions avec un score élevé sont classées par ordre de priorité pour investigation. L'outil est maintenu par Active Countermeasures et est utilisé dans de nombreux SOC. La corrélation avec d'autres métriques renforce la détection : les connexions vers des domaines à forte entropie ou nouvellement enregistrés combinées avec des patterns de beaconing, des User-Agent strings inhabituelles, et des tailles de payload uniformes sont des indicateurs convergents très fiables.