Framework C2
Software di Command & Control: l'operatore (red team / attaccante) controlla beacon remoti su host compromessi. Cobalt Strike è lo standard di settore (pentest legale e abuso criminale), Sliver l'alternativa open source.
I beacon sono impianti che contattano periodicamente il server C2 per ricevere comandi. Comunicazione: HTTPS, DNS, SMB, bot di Slack, issue di GitHub — qualsiasi cosa finisca in whitelist. Cobalt Strike: licenza da 7-10 mila dollari l'anno, usato soprattutto dai red team ma trapelato dal 2020 in poi → strumento standard dei ransomware. Sliver (BishopFox, 2019): alternativa open source a Cobalt Strike, popolare sia tra i red team sia tra gli attori delle minacce. Oggi: Mythic, Havoc, Brute Ratel — tutti competitivi. Difesa: gli EDR (CrowdStrike, SentinelOne) cercano di rilevare i pattern dei beacon C2.