C2サーバの基本
攻撃者は?まずメール等を利用してユーザの端末にマルウェアを送信します。?ユーザの端末にマルウェアをインストールすることがでたら、?そのマルウェアはC2サーバ（C＆C）に感染した端末の情報を送付します。情報にはOSやパッチレベル、ユーザ情報（権限など）などを含み、さらなる攻撃のための情報収集を行います。?そして攻撃者はユーザ端末から重要な情報を収集するために端末に効果的と思われるコマンドを送付します。
C2サーバの応用
C2サーバを設置しても、すぐにセキュリティ会社などに発見されてブラックリストに登録されてしまいます。ですので、最近は攻撃者はC2サーバを設置せずに、既存の正常なウェブサービスを利用してユーザ端末に感染したマルウェアにコマンドを送付します。
例えば、攻撃者はTwitterやPastebinなどのウェブサービスにある文字列を記載します。その文字列はマルウェアに対してのコマンドを表しています。?マルウェアは端末に感染後、定期的に指定されたウェブサービスにアクセスして、ある特別な文字列がないかをチェックします。攻撃者はあるタイミングでそのウェブサービスに文字列を記載した記事やコメントを書き込みます。?マルウェアはその文字列を認識して、ユーザ端末内部でコマンドを実行します。
最近のC2サーバの事例
最近良くC2サーバが利用されるのはランサムウェアです。ランサムウェアは端末に感染したら指定された拡張子のファイルを暗号化しますが、その際に利用される暗号鍵はC2サーバからランサムウェアに送付されます。C2サーバではどの端末のランサムウェアにどの暗号鍵を送付したかを把握していますので、復号するための鍵を管理することができ、ビットコインが支払われたら復号するための鍵をユーザに渡す事ができるのです。
