Poate folosi servere dedicate, relee, rețele peer-to-peer, infrastructură compromisă sau servicii online legitime. C2 este un rol și un comportament, nu un protocol, o adresă, un instrument sau o conexiune de ieșire generică.
Un implant poate contacta infrastructura periodic, ține o sesiune deschisă, prelua sarcini printr-o locație partajată sau primi instrucțiuni unidirecționale. Traficul poate folosi protocoale obișnuite de aplicație, criptare, proxy-uri și destinații schimbătoare pentru a semăna cu activitatea așteptată. Investigarea combină prin urmare tiparele de comunicare cu dovezi de proces, identitate, configurație și sarcini.
Puncte esențiale
Funcții operaționaleC2 poate livra comenzi și configurație, transfera componente suplimentare, coordona mulți boți, schimba temporizarea sau infrastructura și primi rezultate de execuție sau informații colectate.
ArhitecturăCartografiați controlerele, redirecționările, proxy-urile, releele compromise, locațiile dead-drop, relațiile peer, căile de rezervă și sistemele care le rezolvă sau găzduiesc, fără a presupune un singur server central.
Detecție și delimitareCorelați temporizarea neobișnuită, destinațiile, comportamentul de protocol, arborele de procese, istoricul domeniilor sau certificatelor, evenimentele de endpoint și infrastructura cunoscută; validați dacă comunicarea are un proprietar și un scop aprobat.
Limitare importantăTemporizarea de tip beacon, criptarea, domeniile dinamice sau traficul către un serviciu cloud pot fi toate legitime. Blocarea unei destinații poate revela o cale de rezervă sau întrerupe dovezi fără a elimina implantul, identitatea furată, persistența sau alte sisteme afectate.