C2 Server (Command and Control)

שרת C2 (command and control, נכתב גם C&C) הוא התשתית שתוקף משתמש בה כדי לתקשר עם נוזקה על מכונות שנפרצו ולשלוט בה. תוכנית קטנה על כל מארח נגוע, ה-beacon, מתחברת לקבלת הוראות ושולחת החוצה נתונים שנגנבו. חוסמים את הערוץ הזה - והתוקף מאבד שליטה על כל מה שפרץ אליו.

הנקודה האחרונה הזו מסבירה למה C2 חשוב יותר מרוב האינדיקטורים הבודדים. נוזקה שיושבת על מכונה בלי דרך להגיע למפעיל שלה היא בעיקר אינרטית. ערוץ השליטה והבקרה הוא מה שהופך דריסת רגל לחדירה פעילה, ואחד הדברים הכי יקרי-ערך שמגן יכול ללמוד לזהות.

העמוד הזה מסביר מהו שרת C2, איך עובד לולאת ה-beacon, במה C2 שונה מ-botnet ומ-RAT, אילו frameworks אמיתיים תפגשו בדוחות, ואיך מגנים מזהים תעבורת command and control בפועל.

הסבירו לי כאילו אני בן 10

תחשבו על מרגל שהתגנב לבניין. המרגל לא שווה כלום למפעיל שלו עד שהוא יכול להעביר הודעות החוצה, אז מדי פעם הוא יוצא החוצה ומתקשר בשקט הביתה: "יש משהו בשבילי?" המפעיל נותן פקודות ולוקח מה שהמרגל העתיק. המפעיל אף פעם לא נכנס לבניין; המרגל תמיד מתקשר החוצה, ומתמזג עם כל השיחות האחרות כדי שאף אחד לא ישים לב. שרת C2 הוא המפעיל הזה. חותכים את קו הטלפון - והמפעיל נשאר עם מרגל שהוא כבר לא יכול להגיע אליו.

מה שרת C2 באמת עושה: לולאת ה-beacon

הדבר הכי חשוב להבין על command and control הוא כיוון החיבור. הנוזקה יושבת על מכונת הקורבן ומתקשרת החוצה אל שרת ה-C2 של התוקף. השרת לא נכנס לרשת כדי למצוא את הקורבן. זה חשוב כי רוב הרשתות מאפשרות חיבורים יוצאים בחופשיות וחוסמות חיבורים נכנסים לא-מבוקשים, כך שהתקשרות החוצה היא נתיב ההתנגדות הנמוכה ביותר.

ה-beacon: check-in ו-jitter

התוכנית שמבצעת את ההתקשרות מכונה בדרך כלל beacon. היא רצה על המארח שנפרץ ומתחברת באופן מחזורי לשרת ה-C2 כדי לקבל פקודות, וזו הסיבה ש-implant בודד יכול לבצע בשקט המון לאורך זמן: Huntress מתארת את ה-Beacon ב-framework הנפוץ Cobalt Strike כרכיב ש"מתחבר באופן מחזורי ל-Team Server של התוקף כדי לקבל פקודות - גניבת סיסמאות, תיעוד הקשות, צילום מסך, או פריסת כופרה ברחבי הרשת."

המילה "באופן מחזורי" עושה כאן עבודה רבה. ב-Beacon של Cobalt Strike, מרווח ה-check-in הוא שישים שניות כברירת מחדל. אם משאירים אותו סדיר בדיוק כך, התעבורה תהיה טריוויאלית לזיהוי, ולכן מפעילים מוסיפים jitter - שונות אקראית על המרווח. התיעוד של הכלי עצמו נותן את הדוגמה sleep 300 20, שגורמת ל-beacon "לישון למשך ערך אקראי בין 240 ל-300 שניות אחרי כל check-in." התוצאה היא חיבור שנראה פחות כמו מטרונום ויותר כמו פעילות רגילה ולא-סדירה.

של מי המכונה בסיכון?

הנה נקודה שמכשילה אפילו לומדים מעורבים. בשרשור ציבורי אחד שבו ביקשו להסביר C2, קורא חשש שאם הקוד הזדוני יושב על ה-PC של הקורבן, הנתונים החשופים הם "מסוכנים ל-botmaster." חשוב להיות מדויקים: ה-implant על מכונת הקורבן הוא החשיפה של הקורבן, לא הסיכון של התוקף. השרת של התוקף נשאר בנוחות מרחוק. ה-beacon עושה את העבודה של ההתקשרות החוצה, והמפעיל מטפל רק בחיבורים שמגיעים אליו.

C2 מול botnet מול RAT: מה ההבדל?

שלושת המונחים האלה משמשים לסירוגין, וזה לא צריך להיות כך. הם מתארים שלושה דברים שונים.

בקיצור: ה-RAT הוא הכלי על המארח, C2 הוא הערוץ שהוא מדבר דרכו, ו-botnet הוא מה שמקבלים כשמפעיל אחד מריץ את הערוץ הזה על אלפי מכונות בבת אחת. MITRE ATT&CK עוקב אחרי קטגוריית כלי הגישה מרחוק כטכניקה משלה (T1219, ששמה שונה לאחרונה מ-"Remote Access Software" ל-Remote Access Tools). שלושת המושגים חולקים את אותו עמוד שדרה, שהוא ערוץ ה-command and control, והתלות המשותפת הזו היא בדיוק מה שהופך C2 לדבר כל כך שימושי לזיהוי.

ה-frameworks שתפגשו בפועל: Cobalt Strike, Sliver, Mythic

Command and control לא מאולתר מאפס בכל חדירה. מפעילים משתמשים ב-frameworks, ומספר מצומצם חוזר שוב ושוב בדיווחים.

Cobalt Strike הוא זה שתראו הכי הרבה. MITRE ATT&CK מתאר אותו כ"כלי גישה מרחוק מסחרי ומלא-יכולות שמציג את עצמו כ-'תוכנת סימולציית יריב שנועדה לבצע מתקפות ממוקדות ולחקות את פעולות ה-post-exploitation של גורמי איום מתקדמים,'" ומציין שהוא "נשען על היכולות של כלים מוכרים אחרים כמו Metasploit ו-Mimikatz." זה מוצר red-team לגיטימי, שנמכר על ידי Fortra ומורשה לצוותי אבטחה.

עותקים פרוצים וההשבתה של 2023

הסיבוך הוא שעותקים פרוצים הפכו לכלי מועדף על פושעים. ב-2023, Microsoft, Fortra ו-Health-ISAC השיגו צו בית משפט כדי לשבש את התשתית מאחורי עותקים לא-חוקיים, שהתובעים קישרו ל"יותר מ-68 מתקפות כופרה שפגעו בארגוני בריאות ביותר מ-19 מדינות." כך שאותו כלי יושב משני צידי הקו, ושווה לזכור את זה בכל פעם שרואים אותו מוזכר בדוח אירוע.

Cobalt Strike עדיין שולט בכלי C2 שנצפים, אם כי לא באופן מוחלט כמו בעבר. בסקירה של תשתית זדונית ב-2025, Recorded Future מצאה ש-Cobalt Strike "שמר על דומיננטיות ברורה בזיהויי OST (כ-50%) למרות ירידה בנתח," כש-Sliver ו-Mythic נמצאים בין החלופות שמחזיקות מעמד. Sliver, מבית Bishop Fox, הוא "framework קוד פתוח חוצה-פלטפורמות לסימולציית יריב / red team." Mythic הוא framework red-team מודולרי וחוצה-פלטפורמות. שניהם קוד פתוח, שניהם בשימוש לגיטימי של צוותי red team, ושניהם אומצו על ידי חלק מגורמי האיום כחלופות ל-Cobalt Strike.

למה כל כך קשה לתפוס C2: הערוצים

אם הכלים האלה והשרתים שלהם ידועים, למה פשוט לא חוסמים C2? כי command and control טוב מתוכנן להיראות כמו תעבורה שאי אפשר להרשות לעצמכם לחסום. הניסוח של MITRE לטקטיקה הזו בשורה אחת הוא שיריבים "מנסים בדרך כלל לחקות תעבורה נורמלית וצפויה כדי להימנע מזיהוי."

הם מחקים אותה דרך הערוצים שהם בוחרים:

• תעבורת web מוצפנת. רוב ה-C2 המודרני רוכב על HTTPS, כך שה-payloads אינם קריאים במעבר והחיבורים מתמזגים עם גלישת web רגילה. ATT&CK מקטלג את זה כטכניקת Encrypted Channel.
• DNS. DNS כמעט אף פעם לא נחסם ולעיתים קרובות מותר עוד לפני שהמכשיר בכלל עבר הזדהות, ו-beacons בנפח נמוך על DNS מסתתרים בתוך רעש DNS רגיל. (זה הבסיס של DNS tunneling, נושא גדול מספיק שראוי לעמוד משלו.)
• Domain fronting. תוקף יכול לנתב C2 דרך CDN מהימן על ידי הצבת דומיין אחד בשדה TLS SNI ודומיין אחר ב-HTTP host header, כך שמגן הרשת רואה רק את דומיין החזית המכובד.
• שירותים לגיטימיים. Slack, Discord, Telegram, GitHub ואחסון ענן - כולם יכולים לשמש להעברת פקודות, כי תעבורה לפלטפורמה מהימנה לא מושכת תשומת לב.

הקטגוריה האחרונה אינה תיאורטית. ב-2026, דיווח אבטחה על advisory של ה-FBI תיאר גורמים המקושרים לאיראן ש"הגדירו command and control (C2) באמצעות בוט ב-Telegram, שאפשר תקשורת דו-כיוונית בין המכשיר שנפרץ לבין api.telegram[.]org." עבור firewall, זה פשוט חיבור ל-Telegram.

יש עוד סיבה אחת שבגללה חסימה פשוטה נכשלת. תוקפים יכולים לייצר דומייני יעד תוך כדי תנועה באמצעות domain generation algorithm, כך שחסימת IP או דומיין סטטי היום לא עוזרת הרבה מחר. זו הסיבה שהאינדיקטורים הזולים והנמוכים ביותר הם אלה שיריבים מחליפים בלי לאבד קצב, ולמה זיהוי חייב להגיע גבוה יותר.

איך מגנים באמת מזהים C2

התשובה העמידה היא לזהות את ההתנהגות במקום את האינדיקטור הבודד. IP מתחלף זול להחלפה; האופן שבו beacon מתנהג - לא.

ניתוח תזמון וגודל של beacon

הסדירות ש-jitter מנסה להסתיר עדיין נראית סטטיסטית. כפי שמחקר האבטחה של Elastic מנסח זאת, ל-beaconing "יש תכונות ייחודיות מבחינת תזמון וגודל packet," ו"תכונה מרכזית של תעבורת beaconing היא שלעיתים קרובות יש לה netflow bytes דומים ברוב התקשורת שלה." מגנים ממדלים את ההתפלגות של מרווחי החיבור והגדלים במקום לחפש מחזור קבוע. קיימים כלי קוד פתוח בדיוק בשביל זה: RITA, מבית Active Countermeasures, הוא framework לניתוח תעבורת רשת שבין היכולות שלו נמצא ציד אחר "סימנים להתנהגות beaconing לתוך הרשת וממנה."

TLS fingerprinting

כי כל כך הרבה C2 מוצפן, מגנים מבצעים fingerprinting ל-handshake המוצפן עצמו. JA3 מבצע fingerprinting ללקוח ה-TLS, וכפי שמחבריו מציינים, "לא משנה אם הנוזקה משתמשת ב-DGA (Domain Generation Algorithms), או ב-IPs שונים לכל מארח C2" - ה-fingerprint של הלקוח נשאר מזוהה. JA3S מרחיב את הרעיון לתגובת השרת, ו-JARM מבצע fingerprinting אקטיבי לשרתים כדי "לזהות תשתיות command and control של נוזקה ושרתים זדוניים אחרים באינטרנט."

אין כדור כסף

חשוב להיות כנים לגבי מה שהטכניקות האלה נותנות לכם. Fingerprinting נותן, במילות המחברים עצמם, "ביטחון סביר," לא הוכחה. JA3 עצמו כבר לא מתוחזק באופן פעיל והוחלף בשיטות חדשות יותר כמו JA4, ו-fingerprints ניתנים לשינוי. זיהוי כאן מעלה את העלות לתוקף ואת הסיכוי שתתפסו אותו; זה לא חתימה שמבטיחה פגיעה. זה הטיעון לזיהוי ברמת ההתנהגות והטכניקה, שם MITRE ATT&CK - "מאגר ידע נגיש-גלובלית של טקטיקות וטכניקות יריב המבוסס על תצפיות מהעולם האמיתי" - נותן למגנים מפה משותפת. התנהגות שורדת את האינדיקטורים שתוקף יכול להחליף בתוך אחר הצהריים.

מה קורה ברגע ש-C2 חי

הסיבה שכל זה חשוב היא מהירות. ברגע ש-command and control מבוסס, תוקפים זזים מהר. CrowdStrike דיווחה שזמן ה-breakout הממוצע ב-eCrime - כמה זמן עובר עד שחודר מתחיל לנוע למערכות אחרות - "ירד ל-29 דקות בלבד ב-2025, כשה-breakout המהיר ביותר שנצפה התרחש תוך 27 שניות בלבד." מה שבא אחרי ה-beacon הוא playbook מוכר. ה-advisory של CISA על Volt Typhoon מתאר גורמים ש:

• משיגים פרטי הזדהות של מנהל מערכת
• "משתמשים בפרטי הזדהות תקפים של מנהל מערכת כדי לבצע תנועה רוחבית אל ה-domain controller"
• מבססים גישה מתמשכת
• נשענים על טכניקות Living off the Land
• מבצעים "מחיקת לוגים ממוקדת כדי להסתיר את פעולותיהם"

אז התובנה שכדאי לקחת איתכם להתראה הבאה היא זו. שרת C2 הוא ערוץ השליטה של התוקף, ואי אפשר לסמוך על חסימה אינדיקטור-אחר-אינדיקטור כפתרון. הבינו את לולאת ה-beacon, עקבו אחרי ההתנהגות, והתייחסו לערוץ ה-command and control כאל הדבר ששווה לחתוך. אם אתם רוצים להעמיק באחד הערוצים הכי קשים לתפיסה, C2 מעל DNS - DNS tunneling - הוא הצעד הבא הטבעי.