什麼是命令與控制（C2）伺服器？

命令與控制（C2）伺服器供攻擊者用來與遭入侵的系統通訊。本指南將探討 C2 伺服器如何運作、其在網路攻擊中的角色，以及偵測與緩解策略。

了解監控網路流量以識別 C2 通訊的重要性。理解 C2 伺服器對於組織強化其資安防禦至關重要。

命令與控制（C2）的簡要概述與歷史

C2 伺服器，也稱為 C&C 伺服器或 C2 節點，是網路攻擊的關鍵樞紐，使威脅行為者能夠遠端管理並協調其惡意行動。自問世以來，C2 伺服器的概念已大幅演進，形塑了網路威脅的樣貌以及用於對抗它們的策略。

C2 伺服器最早出現在電腦網路發展初期，當時惡意駭客意識到需要對其活動進行集中控制。它們最初作為管理與部署惡意軟體的手段，使攻擊者能夠持續存取遭入侵的系統。這些伺服器充當遭竊資料的傳輸管道，向受感染裝置提供指令，並促成敏感資訊的外洩。

在當前的資安環境中，C2 伺服器已變得更加複雜且多功能。它們在協調各類網路攻擊方面發揮關鍵作用，從分散式阻斷服務（DDoS）攻擊到資料外洩以及勒索軟體的擴散。現代 C2 基礎架構通常採用加密與混淆技術來隱藏通訊通道，使偵測與歸因對防禦者而言成為一項具挑戰性的工作。

了解命令與控制（C2）的運作方式

C2 系統是網路攻擊中的重要組成部分，使惡意行為者能夠維持對遭入侵裝置的控制、外洩資料，並執行其惡意活動的後續階段。

C2 伺服器設定

C2 基礎架構始於建立 C2 伺服器，這些伺服器通常分散於多個地點，並託管於遭入侵或匿名伺服器上以規避偵測。威脅行為者通常會使用網域生成演算法（DGA）來產生大量網域名稱。此方法有助於他們避免遭安全解決方案列入黑名單與追蹤。

初始入侵

此流程通常始於初始入侵，例如成功的網路釣魚攻擊、利用漏洞，或透過受感染的檔案或連結安裝惡意軟體。惡意軟體通常被稱為「bot」或「agent」，會安裝在受害者裝置上，使威脅行為者得以取得控制權。

回呼機制

一旦 agent 安裝完成，便會與 C2 伺服器建立連線。此連線通常稱為「callback」。callback 通常透過預先定義的通訊協定啟動，且經常使用標準網路連接埠與通訊協定（HTTP、HTTPS、DNS，甚至 ICMP）。

命令與控制通道

C2 通道作為遭入侵裝置（bot）與 C2 伺服器之間的通訊連結。它對於下達命令、接收指示及外洩資料至關重要。為了規避偵測，C2 流量通常會透過加密或編碼傳輸中的資料來加以混淆。

資料外洩

C2 伺服器透過指示遭入侵裝置將特定資料傳送至伺服器，來促成資料外洩。這些資料可能包括遭竊憑證、敏感文件或其他有價值的資訊。外洩技術可能各不相同，包括將資料上傳至遠端伺服器、透過電子郵件傳送資料，或使用隱蔽通道來偽裝流量。

命令執行

C2 伺服器會向遭入侵裝置傳送命令以執行惡意動作。這些命令可能包括發動進一步攻擊、安裝額外惡意軟體，或對目標環境進行偵察。所執行的命令可依威脅行為者的特定目標進行調整。

規避技術

威脅行為者會使用各種規避技術來避免遭安全工具偵測。這可能包括網域跳轉、加密，或透過合法服務對 C2 流量進行通道傳輸。網域生成演算法通常用於動態產生網域名稱，使 C2 基礎架構難以預測或封鎖。

持久化機制

C2 伺服器有助於在遭入侵裝置上建立持久化機制，確保惡意軟體保持活躍且隱蔽。這些機制可能包括登錄機碼、排程工作或服務安裝。

遠端存取與控制

C2 伺服器使威脅行為者能夠取得對遭入侵裝置的遠端存取與控制。此類控制可能涉及擷取螢幕畫面、記錄按鍵輸入，甚至啟動視訊與音訊監控。

持續演變的威脅態勢

威脅行為者會持續調整其 C2 技術以規避安全措施。因此，資安專業人員與組織必須保持警覺，採用進階偵測與防護機制來識別並緩解 C2 威脅。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

探討命令與控制（C2）的使用案例

威脅行為者利用 C2 基礎架構來協調並執行惡意活動，範圍涵蓋資料外洩到惡意軟體散布。以下是一些 C2 的真實世界使用案例、其重要性，以及企業如何努力防範這些風險。

• 進階持續性威脅（APT） – APT 組織通常會建立 C2 伺服器，以在長時間內維持對遭入侵網路的控制。它們使用這些伺服器來外洩敏感資料、散播惡意軟體，以及執行目標式攻擊。
• 勒索軟體攻擊 – 在勒索軟體活動中，C2 伺服器是通訊與勒索談判的關鍵組成部分。威脅行為者會加密受害者資料，並要求支付贖金以換取解密金鑰。
• 分散式阻斷服務（DDoS）攻擊 – C2 伺服器被用於協調 殭屍網路 用於發動 DDoS 攻擊。這些攻擊會以流量淹沒目標的伺服器或網路，使其無法存取。
• 銀行木馬 – Zeus 和 TrickBot 等銀行木馬會使用 C2 伺服器竊取敏感的金融資訊，包括登入憑證和銀行詳細資料。這些資料之後會被用於詐騙交易。
• 資料外洩 – 威脅行為者利用 C2 伺服器，將從遭入侵系統竊取的資料秘密傳輸到其自身基礎架構。這可能包括智慧財產、客戶資料或專有資訊。

為了對抗 C2 伺服器的威脅，資安專家已開發出先進的技術與工具，用於識別並緩解這些惡意通道。網路流量分析、異常偵測以及威脅情報分享，在對抗 C2 基礎架構的戰鬥中扮演關鍵角色。此外，入侵偵測與防禦系統、防火牆，以及 端點防護 旨在中斷並封鎖與 C2 伺服器的連線。

企業正積極實施一系列安全措施，以防範與 C2 活動相關的風險：

• 網路流量分析 – 組織使用網路監控與流量分析工具來偵測可疑的網路流量模式與異常情況。這有助於識別潛在的 C2 通訊。
• 入侵偵測與防禦系統 (IDPS) – IDPS 解決方案旨在即時偵測並封鎖 C2 流量。它們使用預先定義的規則與啟發式方法來識別惡意行為。
• 威脅情報分享 – 企業參與威脅資訊分享社群，並訂閱威脅情報來源，以隨時掌握已知的 C2 基礎架構與攻擊向量。
• 端點偵測與回應 (EDR) – EDR 解決方案 可提供端點活動的可視性，並能識別可能與 C2 活動相關的惡意程序。
• 使用者 訓練 與認知 – 員工教育與認知訓練對於辨識網路釣魚企圖至關重要，而這些企圖通常被用來建立以 C2 為基礎攻擊的初始立足點。
• 定期軟體更新與 修補程式管理 – 讓軟體與系統保持最新狀態，有助於防範威脅行為者可能利用來建立 C2 連線的已知弱點。
• 加密與 資料外洩防護 – 採用加密與 DLP 技術可保護資料免於未經授權的外洩，並降低與資料外洩事件相關的風險。

結論

C2 伺服器仍然位於資安攻防的最前線，持續演進以利用新的弱點並適應新興的防禦機制。了解其角色，以及威脅行為者為維持控制所採用的技術，對於資安專業人員與尋求保護其數位資產和資料的組織而言，是制定有效策略的關鍵，尤其是在日益充滿敵意的線上環境中。

使用 Singularity XDR 保護您的系統免受以 C2 伺服器為基礎的攻擊，提供即時預防與回應。