C2 (Command & Control)

Évolution des architectures C2

Les infrastructures C2 modernes utilisent des techniques d'évasion sophistiquées : chiffrement des communications, utilisation de services cloud légitimes (Google Drive, Slack) comme canaux, domain fronting, DNS tunneling, et même utilisation de la blockchain comme canal de communication.

Frameworks C2

Les frameworks comme Cobalt Strike, Sliver, Havoc et Mythic sont utilisés tant par les Red Teams que par les attaquants réels. La détection des communications C2 est un enjeu majeur pour les équipes de défense, nécessitant des solutions NDR capables d'identifier les patterns caractéristiques.

Détection

La détection repose sur l'analyse du beaconing régulier, la taille et fréquence des paquets, les communications avec des domaines récemment enregistrés. Les règles Sigma et l'analyse des métadonnées DNS enrichissent les capacités de détection en identifiant les infrastructures C2 connues.