C2

Command and control, ou commande et contrôle : le fil par lequel un attaquant pilote les machines qu’il a infectées

Le C2 désigne les serveurs, noms de domaine et canaux de communication qu’un attaquant utilise pour donner des ordres aux machines qu’il a compromises et recevoir les données qu’elles lui dérobent. Sans ce lien, un logiciel malveillant installé reste livré à lui-même.

Le programme appelle sa base

Une fois installé, le programme malveillant contacte à intervalles réguliers son serveur pour demander s’il y a des ordres : exécuter une commande, télécharger un autre outil, chiffrer des fichiers, envoyer des documents. Ce rendez-vous se cache dans du trafic banal, requêtes web chiffrées, résolutions DNS, parfois même messageries et services en ligne légitimes. Imiter le trafic attendu est la règle, rappelle MITRE ATT&CK, l’inventaire public des techniques d’attaque.

Le point faible de l’attaque

Couper ce lien rend l’intrus aveugle et sourd. La détection guette donc les connexions sortantes : un poste qui appelle le même domaine inconnu toutes les minutes, une adresse figurant parmi les indicateurs de compromission publiés, un volume inhabituel vers l’extérieur qui trahit une exfiltration. Bloquer le trafic sortant dont personne n’a besoin coûte peu et prive l’attaquant de son fil.

Démanteler en prenant la main

Les grandes opérations policières visent d’abord cette infrastructure. En août 2023, le FBI a détourné vers ses propres serveurs le trafic du réseau Qakbot, plus de 700 000 ordinateurs infectés, et leur a fait télécharger un programme qui supprimait le logiciel malveillant. En Suisse, le registre des noms en .ch peut bloquer cinq jours ouvrables un domaine soupçonné de servir à « diffuser ou exploiter des logiciels malveillants » ; un service reconnu par l’OFCOM, comme l’Office fédéral de la cybersécurité, fedpol ou une police cantonale, peut exiger trente jours.

Une ligne rouge pour l’IA

Les équipes chargées des tests d’intrusion utilisent elles aussi des outils de C2, pour simuler une attaque réelle. Construire une telle infrastructure figure pourtant parmi les usages qu’Anthropic interdit à tous les utilisateurs de ses modèles, y compris aux équipes de sécurité vérifiées, au même titre que le développement de rançongiciels ou l’exfiltration massive de données.

Mise à jour : 26 octobre 2026