Définition du beaconing

Qu'est-ce que le beaconing ?

En cybersécurité, le terme beaconing désigne un rappel effectué par un maliciel installé sur une machine infectée vers un serveur de commande et de contrôle (C2). Ce beaconing peut servir à informer le serveur C2 de la présence du maliciel, à demander des instructions supplémentaires ou à exfiltrer des informations du système infecté.

Qu'est-ce que le beaconing ?

Dans de nombreuses attaques par maliciel, les attaquants ne savent pas quels systèmes leur maliciel infecte. Par exemple, si un maliciel est joint à un courriel d'hameçonnage, l'ordinateur infecté sera celui où le destinataire ouvre la pièce jointe infectée. Tous les courriels d'hameçonnage ne réussissent pas et, pour ceux qui réussissent, le système infecté par le maliciel est imprévisible.

Le beaconing est un mécanisme que les exploitants de maliciels utilisent pour repérer les systèmes qu'ils ont réussi à infecter. Une fois le maliciel en cours d'exécution sur le système, il finit par contacter un serveur C2 pour fournir des informations sur le système infecté et demander d'autres instructions.

Souvent, ces paquets de beaconing sont conçus pour paraître inoffensifs et se fondre dans le trafic normal. Voici quelques-uns des moyens qu'un maliciel peut employer pour y parvenir :

• Requêtes DNS : le maliciel peut effectuer une requête DNS pour un domaine contrôlé par l'attaquant. L'exploitant du maliciel gère le serveur DNS, qui interprète les informations contenues dans la requête DNS et peut inclure des informations supplémentaires dans la réponse.
• Trafic HTTPS : le trafic Web HTTPS chiffré est un autre choix courant pour le beaconing. Les entreprises autorisent généralement les requêtes HTTPS sortantes pour la navigation Web; le maliciel peut donc envoyer une requête vers un site Web contrôlé par l'attaquant, les données exfiltrées étant dissimulées dans le corps chiffré des paquets.

Le beaconing peut servir à bien plus qu'à ce message de salutation initial. Il sert aussi à demander des instructions au serveur C2 ou à exfiltrer des informations recueillies sur le système infecté.

Comment les maliciels dissimulent le trafic de beaconing

Les balises sont conçues pour permettre à l'exploitant du maliciel de repérer les systèmes infectés par son maliciel et de communiquer avec eux. Ces mêmes balises pourraient être inestimables pour les intervenants en cas d'incident, puisqu'elles indiquent quels systèmes nécessitent une neutralisation du maliciel et quelles données l'attaquant a volées.

Pour éviter cela et faire en sorte que leurs balises ne trahissent pas leur présence, les maliciels emploient diverses techniques rendant les balises plus difficiles à détecter. En voici quelques-unes :

• Intervalles irréguliers : les maliciels attendent souvent avant d'envoyer la première balise et peuvent envoyer des balises à intervalles irréguliers. Le beaconing devient ainsi plus difficile à détecter, faute de cadence régulière, et complique la réponse aux incidents, car la balise ne trahit pas le vecteur d'attaque en partant immédiatement après l'infection.
• Algorithmes de génération de domaines (DGA) : les organisations utilisent couramment des listes de blocage d'adresses IP et de domaines pour empêcher les communications avec des domaines reconnus malveillants, y compris les serveurs C2 connus. Les maliciels et les serveurs C2 peuvent recourir à des DGA : le serveur génère et enregistre de nouveaux domaines aléatoires, et le maliciel les calcule de façon indépendante et leur envoie du trafic. L'utilisation de DGA permet au maliciel d'échapper aux listes de blocage de domaines.
• Chiffrement et encapsulation : comme mentionné précédemment, les maliciels peuvent recourir au chiffrement ou à l'encapsulation des données pour dissimuler les balises et l'exfiltration de données. Le trafic DNS, HTTPS ou autre peut comprendre des champs ou du contenu supplémentaires contenant les informations transmises au serveur C2.

Conclusion

Les maliciels utilisent le beaconing pour communiquer avec les serveurs C2. En plus d'annoncer la présence du maliciel sur les ordinateurs infectés, ces messages furtifs servent aussi à envoyer des données ou des demandes d'instructions à un serveur C2.

L'équipe KZero



Découvrez d'autres contenus instructifs rédigés par l'équipe compétente de KZero dans notre section de blogues et de guides.