Il C2 cifrato, o comando-e-controllo cifrato, è traffico di controllo del malware che viene racchiuso nella crittografia prima di lasciare il dispositivo infetto. Il malware continua a inviare istruzioni, aggiornamenti di stato e dati sottratti, ma gli strumenti di rete non possono leggere facilmente il contenuto senza la chiave. Questo è importante perché i difensori spesso si affidano a schemi visibili nel traffico in chiaro per identificare botnet, loader o beacon di amministrazione remota.
Negli attacchi reali, la crittografia aiuta gli aggressori a nascondere i compiti assegnati, a confondersi con il normale traffico sicuro e a ridurre il valore del semplice rilevamento basato sulle firme. Non rende il traffico invisibile: i difensori possono comunque cercare destinazioni insolite, tempistiche anomale, anomalie nei certificati, connessioni in uscita ripetute o sessioni cifrate da dispositivi che non dovrebbero comunicare in quel modo. In pratica, il C2 cifrato sposta il rilevamento verso l'analisi comportamentale, la telemetria degli endpoint e il baselining della rete, invece che sulla sola ispezione del payload.