Framework C2
Software de mando y control (Command & Control): un operador (red team o atacante) controla beacons remotos en hosts comprometidos. Cobalt Strike es el estándar de la industria (pentest legal y abuso criminal); Sliver es la alternativa de código abierto.
Los beacons son implantes que se conectan periódicamente al servidor C2 en busca de órdenes. Comunicación: HTTPS, DNS, SMB, bots de Slack, issues de GitHub — cualquier cosa que pase la lista blanca. Cobalt Strike: licencia de 7.000–10.000 $ al año, pensada sobre todo para red teams, pero filtrada a partir de 2020 → herramienta estándar del ransomware. Sliver (BishopFox, 2019): alternativa de código abierto a Cobalt Strike, popular tanto entre red teams como entre actores de amenaza. Modernos: Mythic, Havoc, Brute Ratel — todos competitivos. En defensa: el EDR (CrowdStrike, SentinelOne) intenta detectar los patrones de los beacons C2.