Infrastructure de commande et contrôle (C2)

Le terme commande et contrôle est emprunté au vocabulaire militaire, où il désigne la chaîne de commandement opérationnel, et a été adopté par la sécurité informatique pour désigner l'infrastructure qui permet à un attaquant de maintenir le dialogue avec ses logiciels malveillants déployés sur des machines compromises. L'évolution des architectures C2 illustre la course permanente entre attaquants et défenseurs. Les premières générations utilisaient des serveurs IRC ou HTTP dédiés, facilement identifiables et neutralisables par blocage de domaine. Les attaquants ont répondu par des algorithmes de génération de domaines pour rendre l'infrastructure mobile, puis par le fast flux, où les adresses IP associées à un domaine C2 changent toutes les minutes pour contourner les listes noires. Les générations récentes détournent des services légitimes comme GitHub, Twitter, Slack ou Google Docs comme canaux C2, rendant le trafic indiscernable du trafic d'entreprise normal par simple inspection. Certains groupes APT utilisent des techniques de DNS-over-HTTPS ou de stéganographie réseau pour dissimuler leurs communications dans des protocoles en apparence bénins. Pour un analyste SOC, identifier et couper le canal C2 est l'action la plus urgente lors d'un incident actif, car sans ce canal l'attaquant perd la vue et le contrôle sur ses implants. Pour l'assureur, la présence documentée d'un trafic C2 non détecté pendant plusieurs semaines constitue une preuve de temps de séjour prolongé qui aggrave directement l'estimation du sinistre.

Lors de l'attaque SolarWinds en 2020, le groupe Cozy Bear a utilisé des sous-domaines avassvendors.com et des requêtes DNS apparemment normales pour exfiltrer discrètement des données sur des mois. La technique de C2 via DNS a empêché la détection par la majorité des sondes réseau, car le trafic DNS d'entreprise est rarement inspecté en profondeur.

C2, C&C, command and control, commande et contrôle, serveur C2, canal de commandement