C2 (commande et contrôle)
Un serveur de commande et contrôle est l’infrastructure par laquelle un attaquant pilote à distance les machines compromises (un botnet), transmet des instructions, exfiltre des données ou pousse des mises à jour de malware. Bloquer les communications C2 est l’un des moyens les plus efficaces de casser une attaque en cours.
Un serveur C2 est la machine à laquelle parle un hôte infecté. Après la compromission initiale, le malware a besoin d’instructions, d’un endroit où envoyer ce qu’il vole et d’un moyen de recevoir des mises à jour ; le serveur C2 fournit les trois. Le trafic qui lui est destiné s’appelle le balisage : de courts pointages réguliers qui demandent « quelque chose pour moi ? » et se fondent dans le trafic web ordinaire.
Tout ce que l’attaquant fait après avoir pris pied passe par ce canal, ce qui en fait le meilleur endroit pour intervenir. Coupez le C2 et l’implant est inerte : il ne peut plus recevoir d’ordres, exfiltrer ni se propager. C’est pourquoi les indicateurs C2 sont traités comme les entrées de plus haute valeur d’une liste de blocage.
Le C2 moderne se cache à la vue de tous. Il utilise HTTPS sur le port 443, le domain fronting via des CDN, des services cloud légitimes comme boîtes aux lettres mortes, et fait tourner des domaines produits par un algorithme. La détection s’appuie donc sur le renseignement (serveurs connus, frameworks connus, motifs de certificats connus) autant que sur l’analyse du trafic.
Exemple
Un journal de pare-feu montre un poste qui se connecte à la même adresse toutes les 47 secondes, 2 Ko dans chaque sens, pendant six heures. L’adresse est listée par un traqueur comme serveur C2 Sliver vu pour la première fois il y a quatre jours. Le motif était l’indice ; le signalement, la confirmation.
Dans isMalicious
Recherchez l’adresse ou le domaine et le rapport dit si un traqueur de C2 le liste, pour quel framework, et quand il a été vu actif pour la dernière fois. Les mêmes indicateurs sont exportés dans le flux C2 sur /data/c2-feeds pour un blocage au pare-feu et au niveau DNS.
Questions fréquentes
Qu’est-ce que C2 (commande et contrôle) ?
Un serveur de commande et contrôle est l’infrastructure par laquelle un attaquant pilote à distance les machines compromises (un botnet), transmet des instructions, exfiltre des données ou pousse des mises à jour de malware. Bloquer les communications C2 est l’un des moyens les plus efficaces de casser une attaque en cours.
Quel est le lien entre C2 (commande et contrôle) et Botnet ?
C2 (commande et contrôle) et Botnet sont deux notions clés du renseignement sur les menaces. Un botnet est un réseau d’appareils compromis (des « bots ») contrôlés par un attaquant via un serveur C2. Les botnets servent aux attaques par déni de service, aux campagnes de spam, au bourrage d’identifiants et à la diffusion de rançongiciels. Les machines infectées l’ignorent souvent.
Termes liés
Botnet
Un botnet est un réseau d’appareils compromis (des « bots ») contrôlés par un attaquant via un serveur C2. Les botnets servent aux attaques par déni de service, aux campagnes de spam, au bourrage d’identifiants et à la diffusion de rançongiciels. Les machines infectées l’ignorent souvent.
IOC (indicateur de compromission)
Un indicateur de compromission est un indicateur étayé par des preuves de compromission ou d’activité malveillante. Les équipes de sécurité s’en servent pour détecter, contenir et investiguer ; une IP, un domaine, une URL, une empreinte ou une adresse e-mail quelconque n’est qu’un observable tant que les preuves ne justifient pas cette promotion.
Rançongiciel
Un rançongiciel est un malware qui chiffre les fichiers ou les systèmes d’une victime et exige un paiement (généralement en cryptomonnaie) contre la clé de déchiffrement. Les groupes modernes exfiltrent aussi les données avant de chiffrer et menacent de les publier — c’est la double extorsion.
Mettez ce renseignement au travail
Interrogez les indicateurs indexés — IP, domaines, URL et empreintes — en quelques secondes.