Comando e controlo (C2).

Comando e controlo (C2 ou C&C) refere-se aos servidores, protocolos e padrões de tráfego que permitem ao atacante gerir o malware implantado após o compromisso inicial. Os canais C2 transmitem ordens, exfiltram dados roubados, distribuem novas cargas e coordenam operações multi-host. Os operadores usam HTTP(S), tunelamento DNS, apps de mensagens, redes sociais, APIs de cloud e até SaaS legítimo para se disfarçar, recorrendo a DGAs, DNS fast-flux, redirecionadores e cifragem para resistir. É uma tática própria no MITRE ATT&CK (TA0011).

Beaconing e escolha de canal

flowchart TD
  A[Host comprometido / implante] -->|beacon periodico| B[Redirecionador / front CDN]
  B --> C[Servidor C2]
  C -->|tarefas| A
  A -->|exfil pelo mesmo canal| C
  A -.->|canal primario bloqueado| D[Canal de reserva: DNS / SaaS]
  D --> C

Como as operações reais escondem o seu tráfego

Os dois exemplos acima delimitam o espaço de design. O Cobalt Strike, uma ferramenta comercial de red team fortemente abusada por grupos de ransomware, executa um implante «Beacon» cujos perfis de C2 maleáveis permitem aos operadores moldar as requisições HTTP(S) para imitar serviços legítimos, dormir entre check-ins para evadir a análise de beaconing e pivotar sobre pipes SMB nomeados para controlo peer-to-peer dentro de uma rede. No extremo furtivo, a backdoor SUNBURST de 2020, plantada no SolarWinds Orion, usou um canal de coordenação baseado em DNS: os hosts infetados codificavam o domínio interno de Active Directory da vítima nas etiquetas de subdomínio de avsvmcloud[.]com, e as respostas DNS sinalizavam se deveria ficar dormente ou escalar para um C2 HTTP para operação manual — um desenho que lhe permitiu esconder-se entre a telemetria normal do Orion durante meses.

A deteção foca-se no padrão e não num domínio concreto: intervalos de beacon regulares com jitter, fingerprints TLS JA3/JA4 incomuns, consultas DNS longas ou de alta entropia e ligações a infraestrutura recém-registada ou de baixa reputação. As defesas incluem filtragem de saída e análise DNS, inspeção TLS quando legal, NDR, bloqueio de DNS sobre HTTPS para resolvedores não confiáveis e disrupção da infraestrutura através de takedowns coordenados e sinkholing.