Commande et contrôle (C2).

La commande et contrôle (C2 ou C&C) désigne les serveurs, protocoles et schémas de trafic permettant à l'attaquant de piloter le malware implanté après la compromission initiale. Les canaux C2 transmettent des ordres, exfiltrent les données volées, déploient de nouvelles charges et coordonnent des opérations multi-hôtes. Les opérateurs utilisent HTTP(S), tunneling DNS, messageries, réseaux sociaux, API cloud et même des SaaS légitimes pour se fondre, et recourent à des DGA, du DNS fast-flux, des redirecteurs et du chiffrement pour la résilience. C'est une tactique à part entière dans MITRE ATT&CK (TA0011).

Beaconing et choix du canal

flowchart TD
  A[Hote compromis / implant] -->|beacon periodique| B[Redirecteur / front CDN]
  B --> C[Serveur C2]
  C -->|taches| A
  A -->|exfil sur le meme canal| C
  A -.->|canal primaire bloque| D[Canal de secours : DNS / SaaS]
  D --> C

Comment les opérations réelles masquent leur trafic

Les deux exemples ci-dessus bornent l'espace de conception. Cobalt Strike, un outil commercial de red team très détourné par les groupes de rançongiciel, exécute un implant « Beacon » dont les profils C2 malléables permettent aux opérateurs de modeler les requêtes HTTP(S) pour imiter des services légitimes, de dormir entre les check-ins afin d'échapper à l'analytique de beaconing, et de pivoter sur des pipes SMB nommés pour un contrôle pair-à-pair au sein d'un réseau. À l'extrémité furtive, la porte dérobée SUNBURST de 2020, implantée dans SolarWinds Orion, utilisait un canal de coordination fondé sur le DNS : les hôtes infectés encodaient le domaine Active Directory interne de la victime dans les libellés de sous-domaine de avsvmcloud[.]com, et les réponses DNS indiquaient s'il fallait rester dormant ou passer à un C2 HTTP pour un contrôle manuel — une conception qui lui a permis de se fondre dans la télémétrie normale d'Orion pendant des mois.

La détection cible le motif plutôt qu'un domaine unique : intervalles de beacon réguliers avec jitter, empreintes TLS JA3/JA4 inhabituelles, requêtes DNS longues ou à forte entropie, et connexions vers une infrastructure récemment enregistrée ou de faible réputation. Les défenses incluent le filtrage sortant et l'analytique DNS, l'inspection TLS dans le respect du droit, le NDR, le blocage du DNS over HTTPS vers des résolveurs non fiables, et la perturbation de l'infrastructure par démantèlement coordonné et sinkholing.