Comando e controle (C2)
A infraestrutura e o canal de comunicação que um atacante usa para controlar remotamente máquinas comprometidas — enviar comandos, baixar mais ferramentas e exfiltrar dados. O "C2" é o cérebro por trás de uma invasão ativa ou de uma botnet.
Mecânica: assim que uma máquina é infectada, ela "liga pra casa" (beaconing) para um servidor C2 em intervalos regulares e busca instruções. Os atacantes escondem esse tráfego de várias formas: HTTPS disfarçado de tráfego web comum, tunelamento via DNS, "domain fronting" através de CDNs de nuvem legítimas, ou até serviços do dia a dia (Slack, Discord, Telegram, GitHub) como canal de C2 para passar despercebido. Frameworks: Cobalt Strike (ferramenta de pentest legítima, maciçamente abusada), Mythic, Sliver. Defesa: detectar padrões de beaconing (tráfego de saída regular, com jitter), bloquear domínios de C2 conhecidos (threat intel), inspecionar tráfego criptografado e limitar conexões de saída (egress filtering). Achar e quebrar o canal de C2 costuma ser a chave para parar uma invasão. Peça central no modelo de kill chain. Relacionado a beaconing e exfiltração de dados.