C2 : infrastructure de commande et contrôle

Une infrastructure C2 (Command and Control) est l'ensemble des serveurs, protocoles et canaux de communication qu'un attaquant utilise pour piloter à distance des implants déployés sur des systèmes compromis. Le C2 constitue le système nerveux d'une attaque post-exploitation. Sans lui, un implant est aveugle et inerte. L'attaquant envoie des instructions (exécution de commandes, déplacement latéral, exfiltration) et récupère les résultats via ce canal. Les protocoles utilisés varient largement : HTTP/S, DNS, SMB, ou même des services légitimes comme Slack ou Google Drive (C2 over trusted platforms). Le protocole DNS est particulièrement apprécié car il traverse quasi systématiquement les pare-feu. Les frameworks C2 modernes comme Cobalt Strike, Sliver ou Havoc implémentent des techniques de malleable profile pour imiter du trafic légitime. La notion de beacon désigne l'implant qui contacte périodiquement le serveur C2 selon un jitter configurable, rendant la détection par fréquence plus difficile. Comprendre les mécanismes du C2 est fondamental pour les équipes SOC et Red Team.

La détection d'un C2 actif repose sur l'analyse du trafic réseau sortant et des comportements d'implants sur les endpoints. Côté réseau, les indicateurs clés sont : des requêtes DNS anormalement fréquentes vers des domaines enregistrés récemment, des connexions HTTP/S avec des User-Agent peu communs ou des intervalles de beacon réguliers, et des certificats TLS auto-signés ou avec des champs Subject inhabituels. Les outils NDR comme Zeek, Suricata ou Darktrace permettent de corréler ces patterns. Côté endpoint, les événements Windows à surveiller incluent l'Event ID 4688 (création de processus) pour détecter des processus légitimes utilisés comme parent d'un implant (process injection), et Sysmon Event ID 3 (connexion réseau) pour identifier des processus non-navigateurs initiant des connexions sortantes sur les ports 80 ou 443. Les Event ID 7 et 10 de Sysmon signalent respectivement le chargement de DLL et l'accès cross-process, deux indicateurs d'injection de code. La corrélation SIEM entre un processus enfant inattendu et une connexion réseau sortante constitue un signal fort. Les plateformes EDR détectent également les IOC de frameworks connus via leurs signatures comportementales.

En phase de Red Team, le choix et la configuration de l'infrastructure C2 sont critiques pour la persistance opérationnelle. L'utilisation de redirecteurs (socat, Apache mod_rewrite, Nginx) devant le vrai serveur C2 évite l'exposition directe de l'infrastructure et complique le tracking défensif. La technique de domain fronting exploite des CDN (Cloudflare, AWS CloudFront) pour masquer la destination réelle du trafic C2 derrière un domaine de confiance. Le malleable C2 profile de Cobalt Strike permet d'imiter le trafic d'applications légitimes (Microsoft Graph, OneDrive) au niveau des headers HTTP et de la structure des URIs. L'utilisation de C2 over DNS avec des outils comme dnscat2 ou iodine contourne les pare-feu qui autorisent uniquement UDP/53 sortant. Côté contre-mesures, le durcissement passe par le blocage DNS-over-HTTPS non contrôlé, l'inspection TLS sur les flux sortants, et l'application stricte d'une politique de proxy explicite. Le filtrage par catégorie de domaine (domaines nouvellement enregistrés) et la mise en place d'un DNS RPZ (Response Policy Zone) bloquent efficacement de nombreuses infrastructures C2. La segmentation réseau limite la portée latérale d'un beacon actif.