L'esfiltrazione tramite C2 è il furto di dati attraverso lo stesso canale di comando e controllo usato per gestire un sistema compromesso. Invece di aprire un percorso di caricamento separato, l'attaccante riutilizza il collegamento di controllo remoto del malware per inviare file, schermate, credenziali o altro contenuto sottratto all'operatore.
Questo è importante perché mescola il traffico malevolo con le attività operative ordinarie, rendendo più difficile il rilevamento. Se i difensori guardano solo a servizi evidenti di trasferimento dati o a grandi caricamenti in uscita, potrebbero non notare piccoli frammenti codificati che viaggiano all'interno di un protocollo fidato, di un broker o di una sessione cifrata. In attacchi reali, lo stesso canale può trasportare comandi shell, profilazione dell'host e movimento di file, creando un'unica pipeline sia per il controllo sia per il furto. Le difese si concentrano sul contesto: comportamenti anomali dei processi, uso insolito di messaggistica o di protocolli mediati da broker su host non standard, offuscamento del payload e traffico che non corrisponde alla normale funzione dell'applicazione. Il monitoraggio congiunto dei log del broker, della telemetria degli endpoint e dell'attività dei file aiuta a distinguere l'amministrazione legittima dall'esfiltrazione covert.