PivotC2 è uno strumento di command-and-control post-exploitation usato dopo che un attaccante ha già ottenuto un punto d'appoggio. “C2” significa command and control: l'operatore mantiene una sessione remota, invia comandi e riceve i dati dal sistema compromesso. La parte “pivot” riflette il suo valore nel movimento all'interno di una rete, usando un host infetto come relay per raggiungere altri sistemi.
È importante perché la compromissione non termina con l'accesso iniziale. Strumenti come PivotC2 possono aiutare gli attaccanti a mantenere la persistenza, automatizzare l'accesso ripetuto e camuffare l'amministrazione remota nel traffico normale. In ambienti reali, i difensori possono osservare connessioni in uscita insolite, modifiche amministrative inattese o un dispositivo perimetrale compromesso che funge da trampolino verso le reti interne. Rilevare questi pattern, isolare l'host e rimuovere la persistenza sono parti fondamentali della risposta.