Beaconing 101: wat is beaconing in beveiliging?

Cybercriminaliteit is er in vele vormen, van botnetaanvallen tot ransomware. Ondanks hun verschillen beginnen veel van deze hacks op dezelfde manier, en malware beaconing is een van die veelvoorkomende problemen die je zult zien. Wat is malware beaconing en wat doet het precies?

Zoals een baken in een vuurtoren signalen geeft aan nabijgelegen schepen, zo is een baken in netwerken een periodiek digitaal signaal. In het geval van malware beaconing gaan die signalen tussen een geïnfecteerd apparaat en een command-and-control (C2) server ergens anders. Hierdoor kunnen cybercriminelen de malware op afstand beheren.

Verschillende soorten bakens

Malware beaconing laat hackers weten dat ze met succes een systeem hebben geïnfecteerd, zodat ze opdrachten kunnen verzenden en een aanval kunnen uitvoeren. Het is vaak het eerste teken van Distributed Denial-of-Service (DDoS)-aanvallen, die tussen 2020 en 2021 met 55 procent zijn gestegen. Deze bakens zijn er ook in veel verschillende vormen.

Een van de meest voorkomende vormen is DNS-beaconing. De geïnfecteerde host gebruikt reguliere DNS-verzoeken (Domain Name System) om zijn baken te verbergen. Op die manier zien de signalen tussen de malware en de C2-server eruit als normale netwerkcommunicatie.

Sommige malware-beaconing-activiteiten maken gebruik van HTTPS, het versleutelde protocol voor informatieoverdracht dat u vaak tegenkomt bij dagelijks internetgebruik. Omdat HTTPS bijna alle informatie tussen een client en een webservice versleutelt, kan het een ideale plek zijn om kwaadaardige acties te verbergen.

Ongeacht het type, alle malware-beaconing probeert de communicatie tussen een dreigingsactor en een geïnfecteerd apparaat te verbergen. Cybercriminelen die hun bakenactiviteit met succes verbergen, kunnen vervolgens de geïnfecteerde machine overnemen en aanzienlijke schade aanrichten.

Verwant: Soorten cybercriminelen en hoe ze werken

Voorbeelden van Beaconing-aanvallen

Enkele van de meest significante cyberaanvallen in de recente geschiedenis zijn begonnen met malware beacons. De enorme hack van SolarWinds gebruikte bijvoorbeeld verschillende bakens om delen van de gecompliceerde malware op verschillende apparaten te laden. Tegen het einde wisten hackers duizenden klanten aan te vallen.

Andere aanvallen gebruiken beacons om meerdere apparaten te infecteren om DDoS-hacks uit te voeren. Cybercriminelen infecteren honderden of zelfs duizenden apparaten en sturen vervolgens signalen door middel van bakenactiviteit om ze allemaal tegelijk te laten handelen. Een van deze aanvallen maakte InfoSecurity Magazine in 2021 korte tijd ontoegankelijk.

Een van de meest populaire beaconing-aanvalstechnieken die wordt gebruikt Cobalt Strike, een penetratietesttool. Deze aanvallen om bakenactiviteit te verbergen zijn tussen 2019 en 2020 met 161 procent gestegen.

Hoe beveiligingsexperts beaconaanvallen stoppen

Beaconing-aanvallen kunnen ernstige gevolgen hebben, maar ze zijn niet onmogelijk te stoppen. Een van de beste manieren waarop beveiligingsteams zich tegen hen verdedigen, is door naar de activiteit zelf te zoeken. Terwijl de malware zichzelf uitzendt naar een C2-server, kan hij per ongeluk zijn locatie ook aan beveiligingsteams onthullen.

Sommige malware kan zich verbergen voor de antivirussoftware die vereist is door de Cybersecurity Maturity Model Certification (CMMC) en andere regelgeving, maar bakenactiviteit is moeilijker te verbergen. Deze signalen zijn kort en regelmatig, waardoor ze zich onderscheiden van normale, continue netwerkcommunicatie. Geautomatiseerde beveiligingstools kunnen patronen zoeken om deze signalen te ontdekken en de malware te vinden.

De beste verdediging tegen malware beaconing is om te voorkomen dat het een apparaat in de eerste plaats infecteert. Robuuste firewalls, detectie van bedreigingen en veiliger gebruikersgedrag kunnen voorkomen dat malware ooit een computer binnendringt. Het kan geen baken zijn voor een dreigingsactor als het niet op een apparaat staat.

Veel destructieve aanvallen beginnen met bakenactiviteit

Beaconing is een veelvoorkomend eerste teken van een grotere aanval, zoals het SolarWinds ransomware-incident. Het is gemakkelijker te verbergen geworden, waardoor het een populairdere optie is voor cybercriminelen. Hoe verontrustend deze trend ook is, beveiligingsexperts kunnen zich er nog steeds tegen beschermen.

Door voldoende kennis te hebben van wat beaconing is en hoe cybercriminelen het gebruiken, kunnen bedrijven veilig blijven. Als u begrijpt hoe bedreigingen een systeem beïnvloeden, is het gemakkelijker om ze te herkennen en ertegen te verdedigen.

14 manieren om Windows 10 sneller te maken en de prestaties te verbeteren

Het is niet moeilijk om Windows 10 sneller te maken. Hier zijn verschillende methoden om de snelheid en prestaties van Windows 10 te verbeteren.

Lees volgende

Over de auteur