Phase 6 - Command & Control (C2) : piloter à distance

Le Command & Control (C2) est le canal par lequel un attaquant pilote à distance une machine déjà compromise : il envoie des ordres, reçoit des données, met à jour son implant. Sans ce canal, l'intrusion est aveugle et figée. Cette page explique à quoi sert un C2, comment les attaquants le camouflent dans le trafic normal, quels indices le trahissent et quels contrôles typés lui opposer. Elle s'adresse aux personnes qui découvrent la détection réseau, sans prérequis autre que la notion de connexion sortante (une connexion qu'une machine du réseau interne ouvre vers l'extérieur).

Ce que vous allez apprendre

Le C2 est la sixième phase de la kill chain : l'implant posé lors de l'installation doit maintenant « appeler à la maison » pour recevoir ses ordres. Concrètement, vous saurez :

• Expliquer le rôle d'un canal C2 et ses trois briques : serveur, implant, protocole.
• Reconnaître les canaux courants : HTTP(S), DNS tunneling, domain fronting, et le rythme de connexion appelé beaconing.
• Situer les frameworks de référence, Cobalt Strike et Sliver, sans les diaboliser ni les banaliser.
• Repérer les indices réseau d'un C2 et les classer parmi les contrôles (préventif, détectif, correctif) avec leur réponse de la matrice.
• Rattacher le C2 à la tactique ATT&CK Commande et contrôle (Command and Control, TA0011), décrite dans MITRE ATT&CK.

À quoi sert un canal C2 ?

Un implant seul ne vaut rien : c'est un programme installé sur la machine victime qui attend des instructions (lister des fichiers, voler des mots de passe, se propager, chiffrer un disque). Le canal C2 est le fil qui le relie au serveur de l'attaquant. Couper ce fil isole l'intrusion et la rend inoffensive.

Ce lien est généralement sortant, car un flux qui part du réseau interne franchit les pare-feux bien plus facilement qu'une connexion entrante. C'est aussi le maillon le plus exposé à la détection : contrairement aux phases précédentes, il produit du trafic réseau observable, souvent régulier, vers une destination que rien ne justifie dans votre activité.

Une architecture C2 tient en trois briques. Le serveur C2 est l'infrastructure de l'attaquant, souvent derrière plusieurs relais. L'implant (aussi appelé agent ou beacon) est le logiciel côté victime. Le protocole est la langue commune entre les deux : il détermine à quel point le trafic est discret ou visible.

Quelles techniques cachent un canal C2 ?

L'enjeu pour l'attaquant est de se fondre dans le trafic légitime : un canal qui ressemble à une navigation web ordinaire passe inaperçu parmi des milliers de connexions par jour. Quatre techniques reviennent, de la plus banale à la plus retorse.

HTTP et HTTPS, le canal le plus courant

Le protocole web est de loin le canal C2 le plus courant : les ports 80 et 443 sont presque toujours ouverts en sortie, et le trafic se noie dans la navigation normale. Avec HTTPS, le contenu est chiffré par TLS (le chiffrement des échanges web) : le défenseur ne voit qu'une connexion sortante chiffrée de plus. En ATT&CK, c'est la technique Protocole de couche applicative (Application Layer Protocol, T1071).

Une requête de balise ressemble à un appel d'API banal.

GET /api/v1/update?id=ABC123&status=ready HTTP/1.1
Host: cdn-assets-updates.example.net
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)

Ici, le paramètre id transporte l'identifiant de la machine compromise, et la réponse du serveur contient la prochaine commande. Rien ne distingue visuellement cette requête d'une vraie mise à jour : c'est pourquoi on ne cherche pas la requête, on cherche le motif (régularité, destination rare).

DNS tunneling, quand le web est bloqué

Le DNS tunneling transporte des données dans des requêtes DNS (le DNS est l'annuaire qui traduit un nom en adresse IP). Même les réseaux les plus verrouillés laissent passer le DNS, car sans lui plus rien ne fonctionne. L'attaquant encode ses données dans le nom demandé.

dGhpcyBpcyB1bmUgY29tbWFuZGU.c2.example-domain.net

Le sous-domaine, ici en Base64, contient un morceau de message ; le serveur DNS de l'attaquant, autoritaire sur example-domain.net, le décode et répond. La bande passante est faible mais suffisante pour piloter un implant. ATT&CK range cette famille sous Tunnellisation de protocole (Protocol Tunneling, T1572). Des outils de tunnel légitimes peuvent être détournés de la même façon : voir cloudflared et ngrok pour la détection de leur abus.

Domain fronting, se cacher derrière un nom de confiance

Le domain fronting fait transiter le trafic par un CDN légitime (grand fournisseur de diffusion de contenu). De l'extérieur, la connexion semble viser un domaine de confiance très fréquenté ; à l'intérieur du CDN, elle est routée vers le serveur de l'attaquant.

Une technique en recul, pas disparue

Les grands fournisseurs cloud ont durci leurs plateformes pour rendre le domain fronting plus difficile. Il reste observé sous des variantes, et le principe (emprunter la réputation d'un domaine légitime) se retrouve ailleurs. Ne considérez jamais un domaine « de confiance » comme un laissez-passer aveugle.

Beaconing, le rythme qui trahit

Le beaconing décrit la façon dont l'implant rappelle son serveur à intervalles réguliers pour demander : « une commande pour moi ? ». Une machine qui contacte la même destination toutes les 60 secondes, jour et nuit, ne se comporte pas comme un humain. Ce battement est vital pour l'attaquant et révélateur pour le défenseur.

Pour le brouiller, les implants ajoutent du jitter (une variation aléatoire des intervalles, par exemple ±20 %) et de longues périodes de silence. Le rythme reste néanmoins l'un des meilleurs signaux à surveiller.

Cobalt Strike et Sliver : pourquoi les connaître ?

Les attaquants n'écrivent que rarement leur C2 de zéro : ils s'appuient sur des frameworks, des boîtes à outils qui fournissent implant, serveur et console de pilotage. Ces mêmes outils servent aux équipes de red team légitimes (qui jouent l'attaquant pour tester les défenses), d'où leur ambivalence.

Cobalt Strike est le framework commercial de référence pour les tests d'intrusion professionnels. Son implant, le Beacon, gère plusieurs canaux (HTTP, HTTPS, DNS, SMB, le protocole de partage de fichiers Windows) et des profils personnalisables qui font imiter au trafic des applications métier. Sliver, open source, multi-plateforme et écrit en Go, s'est imposé comme l'alternative moderne. Les deux sont utilisés par des red teams comme par des acteurs malveillants. Le défenseur ne cherche donc pas un nom de produit, mais les comportements qu'ils produisent sur le réseau.

Quels indices trahissent un C2 ?

Un canal C2, aussi soigné soit-il, laisse des traces dans le trafic. Les repérer suppose de savoir ce qui est normal sur son réseau pour distinguer l'anomalie.

• Beaconing régulier : connexions sortantes vers la même destination à intervalles trop constants pour être humains.
• Destinations douteuses : domaines récemment enregistrés, adresses IP géographiquement incohérentes, noms à l'apparence aléatoire.
• Volumes asymétriques : petites requêtes sortantes suivies de réponses anormalement grosses, ou l'inverse en cas d'exfiltration.
• Requêtes DNS anormales : noms très longs, sous-domaines à l'allure encodée, volume élevé vers un même domaine.
• En-têtes et certificats suspects : User-Agent absent ou incohérent avec le système, certificats auto-signés.

Aucun indice ne prouve seul un C2 : un logiciel de mise à jour est aussi régulier qu'une balise. La valeur vient de la corrélation : une destination rare, contactée à intervalle fixe, depuis une machine où un service vient d'apparaître. Pour lire un domaine ou un blob encodé suspect, CyberChef enchaîne les décodages (Base64, hexadécimal) sans écrire de code.

Quels contrôles opposer au C2 ?

Aucune parade unique ne neutralise le C2 : la défense combine contrôle des sorties, visibilité sur le trafic et renseignement à jour. La page Types de mesures donne le vocabulaire. Pour cette phase, la matrice de Lockheed Martin est la plus fournie : un NIDS (sonde qui surveille le réseau) détecte, une ACL de pare-feu (liste de règles qui autorisent ou refusent des flux) refuse, un NIPS (sonde qui peut aussi couper une session) perturbe, un tarpit (« fosse de goudron » : il retient volontairement les connexions) ralentit, une redirection DNS trompe.

Contrôle	Type	Réponse de la matrice	Effet
Sondes réseau, détection de beaconing et d'anomalies DNS	Détectif	Détecter (detect)	Révèle un canal qui passe
Filtrage du trafic sortant par défaut, proxy web obligatoire	Préventif	Refuser (deny)	Réduit les sorties possibles
Résolveur DNS interne filtrant	Préventif	Refuser	Complique le DNS tunneling
Blocage des domaines et IP issus de la threat intelligence	Préventif	Refuser	Coupe les infrastructures déjà connues
NIPS qui coupe une session suspecte	Préventif	Perturber (disrupt)	Interrompt le canal en cours
Tarpit : ralentir volontairement les connexions suspectes	Préventif	Ralentir (degrade)	Réduit l'efficacité du pilotage
Redirection DNS des domaines malveillants vers un puits (sinkhole, serveur que vous contrôlez)	Préventif et détectif	Tromper (deceive)	Neutralise l'appel et révèle les machines infectées
Isolation de la machine qui balise	Correctif	Perturber	Coupe l'intrusion déjà établie

Glissez pour voir

Ce tableau montre que le blocage par liste ne voit que le déjà connu : une infrastructure neuve lui échappe, d'où l'intérêt de coupler blocage et détection comportementale, au prix d'un réglage pour limiter les fausses alertes. Il montre aussi la valeur du filtrage sortant : refuser par défaut est plus robuste que d'énumérer les mauvaises destinations. Il relève de la défense en profondeur, et d'une logique plus générale de Zero Trust : une connexion sortante n'est pas fiable parce qu'elle vient de l'intérieur.

Le C2 se détecte des deux côtés

Surveiller le réseau repère le canal, mais l'implant vit sur une machine et laisse aussi des traces (processus, persistance). La détection en production croise ces deux angles, ce que détaille le domaine Runtime et exploitation du SOCLE.

À retenir

1. Le C2 est le lien vital entre l'attaquant et la machine compromise : couper ce canal isole l'intrusion.

2. HTTP et HTTPS dominent parce qu'ils traversent les pare-feux et se noient dans le trafic web, chiffrés par TLS.

3. Le DNS tunneling sert de canal de secours quand le web est filtré, en encodant les données dans les noms demandés.

4. Le beaconing est détectable : la régularité des connexions sortantes est l'un des meilleurs signaux, même atténuée par le jitter.

5. Cobalt Strike et Sliver industrialisent le C2 ; on traque les comportements qu'ils produisent, pas leur nom.

6. Un indice isolé ne prouve rien : c'est la corrélation (destination rare, rythme fixe, machine où un service vient d'apparaître) qui alerte.

7. Les contrôles se typent : refuser par défaut les sorties, détecter par l'analyse du trafic, perturber par le NIPS, corriger par l'isolation.

8. Cette phase est la tactique ATT&CK Commande et contrôle (TA0011) ; sa parade en production est portée par le domaine Runtime et exploitation du SOCLE, qui relie les comportements C2 aux contrôles.

Contrôle de connaissances

Six questions tirées sur huit : les canaux de commande et contrôle, le beaconing, le filtrage sortant et la détection des connexions anormales.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →