Un server C2, abbreviazione di server di comando e controllo, è il sistema remoto che il malware usa per ricevere istruzioni e inviare i dati rubati. Dopo che un dispositivo è stato compromesso, il malware può contattare questo server per scaricare nuovi compiti, recuperare plugin o caricare file acquisiti, credenziali, screenshot o altro materiale sensibile.
L'infrastruttura C2 è importante perché trasforma un'infezione una tantum in un'operazione attiva. I difensori cercano connessioni in uscita insolite, domini sospetti, beaconing periodico e modelli di traffico cifrato che non corrispondono al comportamento normale dell'app o dell'host. Bloccare, isolare o sinkholare i server C2 può interrompere il controllo dell'attaccante, limitare l'esfiltrazione e rivelare i dispositivi infetti. Nei casi di furto da dispositivi mobili, i dati raccolti vengono spesso inoltrati all'infrastruttura C2 subito dopo la raccolta, rendendo il monitoraggio della rete un punto chiave di rilevamento.