C2 フレームワーク
Command & Control ソフトウェア。オペレータ(レッドチームや攻撃者)が、侵害したホスト上のビーコンを遠隔操作する。Cobalt Strike が業界標準(正規のペンテストにも犯罪にも使われる)で、オープンソースの代替が Sliver。
ビーコンとは、定期的に C2 サーバーへ接続して命令を受け取るインプラントのことだ。通信には HTTPS、DNS、SMB、Slack ボット、GitHub の Issue など、許可リストを通るものなら何でも使われる。Cobalt Strike のライセンスは年間7,000〜10,000ドルで、主にレッドチーム向けだが、2020年以降に流出し、ランサムウェアの定番ツールになった。Sliver(BishopFox、2019年)は Cobalt Strike のオープンソース代替で、レッドチームにも脅威アクターにも人気がある。近年は Mythic、Havoc、Brute Ratel なども競っている。防御側では、EDR(CrowdStrike、SentinelOne)が C2 ビーコンのパターンを検知しようとする。