C2 (Command & Control)

Définition

Le C2 (Command and Control), ou infrastructure de commande et contrôle, désigne l'ensemble des serveurs et canaux de communication qu'un attaquant utilise pour maintenir un contact persistant avec les systèmes compromis, leur transmettre des commandes et exfiltrer des données, constituant l'épine dorsale opérationnelle d'une cyberattaque au-delà de l'accès initial. Référencé dans MITRE ATT&CK sous la tactique dédiée TA0011, le C2 emprunte des canaux variés pour se fondre dans le trafic légitime et échapper à la détection : HTTP/HTTPS mimant du trafic web classique, DNS tunneling encapsulant des commandes dans des requêtes de résolution de noms, ou plus rarement des canaux exotiques comme les réseaux sociaux ou des services cloud légitimes (technique dite de C2-as-a-Service via Slack ou Dropbox). Des frameworks comme Cobalt Strike, Sliver, Mythic ou Metasploit fournissent une infrastructure C2 complète, historiquement destinée aux tests d'intrusion légitimes mais massivement détournée par des groupes cybercriminels et étatiques, y compris via des versions piratées de Cobalt Strike largement documentées dans les campagnes de ransomware. La détection du C2 repose sur l'analyse comportementale du trafic réseau (beaconing régulier, volumes anormaux), l'inspection DNS et la corrélation de journaux via des règles Sigma ou YARA, l'infrastructure C2 constituant souvent le point de pivot le plus exploitable pour attribuer et contenir une intrusion en cours.