Un server di comando, spesso chiamato server C2, è il sistema remoto che il malware usa per ricevere istruzioni e talvolta inviare i dati rubati a un attaccante. Può indicare a un dispositivo infetto cosa eseguire dopo, quali file raccogliere o quando restare in silenzio per evitare il rilevamento. In pratica, questo canale di controllo è ciò che trasforma un'infezione una tantum in un'operazione continua.
I server di comando sono importanti perché rappresentano un punto chiave di controllo e un bersaglio comune per i difensori. I team di sicurezza cercano traffico in uscita insolito, domini sospetti, beaconing ripetuto e connessioni cifrate verso infrastrutture sconosciute. Gli attaccanti possono nascondere il traffico di comando in normali richieste web, servizi cloud o persino fonti di dati basate su blockchain per rendere più difficile l'abbattimento. Bloccare o interrompere il server di comando può impedire al malware di ricevere aggiornamenti, ma potrebbe non rimuovere l'infezione già presente sull'endpoint.