Un server command-and-control (C2) è l'infrastruttura che un attaccante usa per comunicare con i sistemi compromessi. Il malware su un host infetto effettua il check-in su questo server per ricevere istruzioni, aggiornamenti, payload o comandi di esfiltrazione dei dati. Nei botnet e in altre campagne malware, il server C2 agisce come una console di controllo remoto che mantiene coordinati molti dispositivi compromessi.
L'infrastruttura C2 è importante perché trasforma infezioni isolate in un'operazione gestita. Gli attaccanti possono cambiare rapidamente tattiche, distribuire nuovo malware o assegnare compiti in modo selettivo solo ad alcuni host, rendendo più difficile il rilevamento. I difensori cercano segnali come beaconing regolare, connessioni in uscita insolite, pattern DNS sospetti, TLS self-signed o non corrispondenti e domini o IP noti come malevoli. Bloccare o sinkholare i canali C2, isolare gli endpoint infetti e cercare il malware associato sono passi comuni di risposta. Negli attacchi in cloud e incentrati sull'identità, il C2 può anche supportare il controllo delle credenziali, la persistenza e il movimento laterale coordinando segreti rubati e account validi.