Un BOF, o Beacon Object File, è un modulo compatto di post-exploitation che esegue il codice dell'operatore all'interno di un processo attivo, comunemente un beacon o un altro agente impiantato. Invece di scrivere su disco uno strumento completo, l'attaccante carica il BOF in memoria ed esegue il codice nel contesto del processo bersaglio.
Questo è importante perché riduce gli artefatti su file, può confondersi con un processo già esistente e consente agli operatori di estendere le capacità su richiesta per attività come il riconoscimento del sistema, i controlli sulle credenziali o la preparazione al movimento laterale. In pratica, i BOF sono spesso usati dai red team e da attori delle minacce che vogliono una tecnica flessibile e poco rumorosa. I difensori dovrebbero cercare esecuzioni insolite in memoria, caricamenti sospetti di moduli, schemi di injection nei processi e telemetria degli endpoint che mostri un processo fidato eseguire improvvisamente nuove azioni. L'analisi della memoria e il rilevamento basato sul comportamento sono particolarmente utili, perché un BOF potrebbe non comparire mai come eseguibile autonomo su disco.