CommandandControlInfrastruktur

CommandandControlInfrastruktur bezeichnet die technischen Mittel, die Angreifer nutzen, um kompromittierte Systeme zu steuern. Ziel ist die Koordination von Malware-Befehlen, Aufrechterhaltung der Persistenz, Datenerfassung, Exfiltration und die Weiterführung von Angriffen über längere Zeiträume.

Typische Bestandteile sind C2-Server oder -Dienste, Kommunikationskanäle zu befallenen Hosts, Beacons oder Agenten in Endgeräten, Mechanismen zur Redundanz sowie Infrastruktur, die Verbindungen verschleiert oder austauscht. Die Architektur kann zentralisiert, dezentralisiert oder hybrid sein und reicht von einzelnen Kontrollpunkten bis zu verteilten Netzwerken.

Architekturen reichen von zentralisierten C2-Servern über verteilte oder hybride Modelle bis zu Peer-to-Peer-Systemen, bei denen kompromittierte Hosts Befehle direkt weitergeben. Bevorzugte Kommunikationswege umfassen HTTP/HTTPS, DNS-Tunneling oder andere Protokolle; Verschlüsselung dient der Verdeckung der Befehle und der Authentifizierung der beteiligten Parteien.

Der Lebenszyklus umfasst Infiltration, Aufbau der Kommunikationskanäle, regelmäßiges Beaconing, Befehlsausführung, Rückmeldungen an den Angreifer und mögliche Updates der Schadsoftware oder Exfiltration von Daten, um die Angriffsfähigkeit aufrechtzuerhalten.

Für Verteidigung und Aufklärung ist die Analyse von C2-Verkehr zentral: ungewöhnliche Muster, Domain-Flux-Techniken und Telemetrie helfen bei der Erkennung kompromittierter Systeme. Gegenmaßnahmen umfassen Netzwerksegmentierung, kontrollierten Egress-Verkehr, TLS-Inspektion, Verhaltensanalytik sowie Incident-Response- und Take-Down-Strategien. Rechtlich und ethisch gilt, C2-Infrastruktur missbräuchlich genutzte Ressourcen zu trennen oder in autorisierten Sicherheitstests zu verwenden.