Socket.IO è una libreria JavaScript per la comunicazione bidirezionale in tempo reale tra un client e un server. In genere funziona su HTTP e passa a una connessione persistente, il che la rende utile per app di chat, dashboard live e strumenti collaborativi. Poiché supporta messaggi a bassa latenza e traffico basato su eventi, può anche risultare interessante per gli attaccanti.
Nelle operazioni malware, Socket.IO può essere usato per canali di comando e controllo (C2) che sembrano traffico normale di applicazioni web. Questo può aiutare il traffico malevolo a confondersi con connessioni legittime del browser o dell'app, soprattutto se utilizza porte comuni e piccoli messaggi ripetuti. I difensori dovrebbero monitorare endpoint Socket.IO inattesi, connessioni in uscita insolite da endpoint che non ne hanno bisogno e nomi di eventi o pattern di messaggi anomali. Il filtraggio di rete, la telemetria degli endpoint e l'uso di liste di autorizzazione per i servizi approvati possono rendere questo tipo di C2 più facile da individuare e bloccare.