C2サーバ（コマンド＆コントロール） とは？

そうだよ。マルウェアに感染した端末は、定期的にC2サーバに「何かやることある？」と問い合わせるんだ。攻撃者はC2サーバを通じて「このファイルを盗め」「別の端末に感染を広げろ」といった命令を送るんだよ。

攻撃者もそこは工夫していて、HTTPSで普通のWebアクセスに見せかけたり、DNSクエリの中にデータを隠したりするんだ。最近ではGitHubやGoogleドライブ、Slackなどの正規サービスをC2通信の中継に使う手口もあるよ。

確かに難しいけど、いくつかの特徴から検知できるんだ。マルウェアは決まった間隔でC2に接続する「ビーコン」と呼ばれる通信パターンを示すことが多い。例えば60秒ごとにHTTPリクエストを送っているとか、不自然に規則的な通信をSIEMで検出するんだよ。

単一のC2サーバなら、IPアドレスをブロックすれば通信は止められるね。でも高度な攻撃者はC2サーバを複数用意したり、感染端末同士がP2Pで通信するボットネットを構築したりして、簡単に潰せないようにしているんだ。

防弾ホスティングと呼ばれる、法執行機関の要請を無視するホスティング事業者を使うケースが多いんだ。あとはTorネットワーク上に隠したり、ドメインフロンティングという手法でCDNの裏に隠したりもするよ。法執行機関が国際協力でC2インフラをテイクダウンすることもあって、2023年のQakbotボットネット解体は有名な成功例だね。