コマンド&コントロール(C2).

コマンド&コントロール(C2 / C&C)とは、初期侵害後に攻撃者が植え込んだマルウェアを操るためのサーバ、プロトコル、通信パターンの総称である。C2 チャネルは指令の配信、窃取データの回収、新たなペイロードの配布、複数ホストの作戦調整などに用いられる。運用者は HTTP(S)、DNS トンネリング、メッセージングアプリ、SNS アカウント、クラウド API、正規 SaaS を混入させて目立たないようにし、ドメイン生成アルゴリズム(DGA)、ファストフラックス DNS、リダイレクタ、暗号化通信などで回復性を高める。これは MITRE ATT&CK における独立した戦術(TA0011)である。

ビーコンとチャネル選択

flowchart TD
  A[侵害されたホスト / インプラント] -->|定期ビーコン| B[リダイレクタ / CDN フロント]
  B --> C[C2 サーバ]
  C -->|タスク配信| A
  A -->|同一チャネルで外部送信| C
  A -.->|主チャネルが遮断| D[予備チャネル: DNS / SaaS]
  D --> C

実際の攻撃はどのように通信を隠すか

上記 2 つの例は設計空間の両端を示している。Cobalt Strike は、ランサムウェア集団に多用される商用レッドチームツールで、その「Beacon」インプラントは可変(malleable)C2 プロファイルにより、HTTP(S) リクエストを正規サービスに似せて整形し、チェックインの合間にスリープしてビーコン分析を回避し、名前付き SMB パイプを介して内部ネットワークでピアツーピア制御へピボットできる。ステルス性の高い側では、2020 年に SolarWinds Orion へ仕込まれたバックドア SUNBURST が DNS ベースの調整チャネルを用いた。感染ホストは被害者内部の Active Directory ドメイン名を avsvmcloud[.]com のサブドメインラベルへエンコードし、DNS 応答が休眠を続けるか、あるいは手動操作用の HTTP C2 へ移行するかを指示した——この設計により、数か月にわたって Orion の正常なテレメトリに紛れ込んだ。

検知は単一のドメインではなくパターンに着目する。ジッタ付きの規則的なビーコン間隔、異常な JA3/JA4 の TLS フィンガープリント、長大または高エントロピーの DNS クエリ、新規登録または低評価インフラへの接続などである。対策には、外向き通信のフィルタリングと DNS 分析、合法的な範囲での TLS インスペクション、NDR、信頼できないリゾルバへの DNS over HTTPS の遮断、そして協調的なテイクダウンとシンクホールによるインフラの無力化が含まれる。