Command and Control (C2)
C2 · C&C · commande et contrôle · serveur de commande et de contrôle · infrastructure C2 · beaconing
Infrastructure qui permet à un attaquant de piloter à distance les machines qu’il a compromises : envoyer des ordres, récupérer des données, déployer d’autres outils.
En pratique
Une fois installé, un logiciel malveillant contacte régulièrement son serveur de commande pour recevoir des instructions. Pour passer inaperçues, ces communications imitent du trafic légitime (HTTPS, DNS, services cloud connus) et suivent souvent un rythme régulier, le « beaconing ». Couper le canal C2, c’est priver l’attaquant de ses mains : voilà pourquoi les adresses et domaines C2 comptent parmi les indicateurs de compromission les plus partagés.
Le 27 janvier 2021, une opération coordonnée par Europol et Eurojust, avec notamment la France, l’Allemagne, les Pays-Bas et les États-Unis, a pris le contrôle de l’infrastructure du botnet Emotet, soit plusieurs centaines de serveurs dans le monde. Privées de leur C2, les machines infectées ne pouvaient plus être pilotées par les criminels.
Comment s’en protéger
- Filtrer les flux sortants et la résolution DNS, en bloquant les domaines et adresses malveillants connus.
- Alimenter le pare-feu, le proxy ou le SIEM avec des flux de renseignement sur la menace (adresses et domaines C2).
- Repérer les connexions sortantes régulières et anormales avec un EDR, une sonde réseau ou le SIEM.
- Isoler immédiatement du réseau, sans l’éteindre, une machine qui communique avec un C2 connu.
