Il C2 distribuito, o comando e controllo distribuito, è una configurazione usata dagli aggressori che distribuisce il traffico di controllo su più server invece di affidarsi a un solo host centrale. In una campagna malware, i dispositivi infetti possono contattare endpoint diversi per istruzioni, aggiornamenti o esfiltrazione dei dati, il che rende l'infrastruttura più difficile da mappare e più facile da sostituire per gli operatori se un server viene bloccato.
È importante perché i difensori spesso cercano un singolo indirizzo IP o dominio C2 ovvio da inserire in un sinkhole o bloccare. Quando il controllo è suddiviso tra più nodi, il semplice blocco degli IP e l'analisi di un solo campione diventano meno efficaci. I team di sicurezza rispondono correlando la telemetria DNS, proxy e degli endpoint, cercando modelli condivisi tra le destinazioni e monitorando il comportamento di failover. Negli attacchi reali, il C2 distribuito è spesso affiancato da phishing, geofencing o domini rotanti per ridurre la visibilità e ritardare la rimozione.