Może używać dedykowanych serwerów, przekaźników, sieci peer-to-peer, skompromitowanej infrastruktury lub legalnych usług online. C2 to rola i zachowanie, a nie jeden protokół, adres, narzędzie czy ogólne połączenie wychodzące.
Implant może okresowo kontaktować się z infrastrukturą, utrzymywać otwartą sesję, pobierać zadania przez współdzieloną lokalizację lub odbierać instrukcje jednokierunkowe. Ruch może używać powszechnych protokołów aplikacyjnych, szyfrowania, proxy i zmieniających się destynacji, by przypominać oczekiwaną aktywność. Dochodzenie łączy więc wzorce komunikacji z dowodami procesów, tożsamości, konfiguracji i zadań.
Najważniejsze punkty
Funkcje operacyjneC2 może dostarczać polecenia i konfigurację, przesyłać dodatkowe komponenty, koordynować wiele botów, zmieniać timing lub infrastrukturę oraz odbierać wyniki wykonania lub zebrane informacje.
ArchitekturaMapuj kontrolery, przekierowania, proxy, skompromitowane przekaźniki, lokalizacje dead-drop, relacje peer-to-peer, ścieżki awaryjne i systemy je rozwiązujące lub hostujące — bez zakładania jednego centralnego serwera.
Detekcja i zakresKoreluj nietypowy timing, destynacje, zachowanie protokołu, pochodzenie procesów, historię domen lub certyfikatów, zdarzenia punktów końcowych i znaną infrastrukturę; waliduj, czy komunikacja ma zatwierdzonego właściciela i cel.
Istotne ograniczenieTiming przypominający beaconing, szyfrowanie, dynamiczne domeny czy ruch do usługi chmurowej mogą być legalne. Zablokowanie jednej destynacji może ujawnić ścieżkę awaryjną lub przerwać dowody bez usunięcia implanta, skradzionej tożsamości, utrwalenia czy innych dotkniętych systemów.