Může používat dedikované servery, přenašeče, peer-to-peer sítě, kompromitovanou infrastrukturu nebo legitimní online služby. C2 je role a chování, nikoli jeden protokol, adresa, nástroj či generické odchozí spojení.
Implant může infrastrukturu kontaktovat periodicky, udržovat relaci otevřenou, získávat úkoly přes sdílené umístění nebo přijímat jednosměrné instrukce. Provoz může používat běžné aplikační protokoly, šifrování, proxy a měnící se destinace, aby připomínal očekávanou aktivitu. Vyšetřování proto kombinuje komunikační vzory s důkazy procesů, identit, konfigurace a úkolů.
Klíčové body
Operační funkceC2 může doručovat příkazy a konfiguraci, přenášet další komponenty, koordinovat mnoho botů, měnit načasování či infrastrukturu a přijímat výsledky spuštění nebo sesbírané informace.
ArchitekturaMapujte kontrolery, přesměrování, proxy, kompromitované přenašeče, dead-drop umístění, peer vztahy, záložní cesty a systémy, které je resolvují či hostují — bez předpokladu jednoho centrálního serveru.
Detekce a vymezeníKorelujte neobvyklé načasování, destinace, chování protokolu, rodokmen procesů, historii domén či certifikátů, události koncových zařízení a známou infrastrukturu; validujte, zda má komunikace schváleného vlastníka a účel.
Důležité omezeníČasování podobné beaconingu, šifrování, dynamické domény nebo provoz na cloudovou službu mohou být všechny legitimní. Zablokování jedné destinace může odhalit záložní cestu nebo přerušit důkazy, aniž by odstranilo implant, ukradenou identitu, perzistenci či jiné dotčené systémy.