Los ciberdelincuentes emplean múltiples métodos para sustraer información sensible durante un ataque. Una pieza clave de su arsenal es la infraestructura de comando y control (C2): el conjunto de herramientas y mecanismos que, tras la intrusión inicial, les permite enviar órdenes a los dispositivos comprometidos y mantener el control sobre ellos.
Un ataque eficaz no se limita a acceder al sistema de una organización, sino que asegura la persistencia del malware dentro del entorno objetivo, posibilita el intercambio de datos con los equipos infectados y facilita la exfiltración de información crítica. Todo ello requiere una infraestructura C2 robusta que soporte canales de comunicación ocultos para gestionar la operación.
Para permanecer ocultos, los atacantes recurren a distintas técnicas de comunicación. Pueden usar protocolos de capa de aplicación asociados a servicios web, transferencia de archivos, correo electrónico, subscripciones o incluso al Sistema de Nombres de Dominio (DNS). Otros vectores incluyen dispositivos extraíbles o la inserción de contenido malicioso dentro del tráfico de red legítimo. Además, frecuentemente cifran sus comunicaciones, a veces con esquemas no estándar, para dificultar su inspección.
Con el objetivo de dificultar aún más el análisis y la detección del tráfico C2, los actores maliciosos pueden enmascarar información introduciendo datos irrelevantes, empleando esteganografía en contenidos aparentemente inocuos o imitando protocolos legítimos de servicios web. También implementan conexiones cambiantes mediante malware que comparte algoritmos o patrones con la infraestructura del atacante, lo que complica la correlación entre sesiones maliciosas.
Si la vía principal de comunicación se ve bloqueada o deja de funcionar, los atacantes suelen disponer de canales alternativos o de respaldo para mantener la comunicación y evitar límites de transferencia que puedan delatarles. En algunos casos, manipulan directamente el tráfico de red para sortear controles y seguir operando.
La matriz MITRE ATT&CK recoge numerosas técnicas relacionadas con el mando y control —varias decenas, cada una con sus subtécnicas— que describen las formas en que se establecen y protegen estos canales. Se pueden consultar en la propia matriz de ATT&CK de MITRE.
Detectar tráfico C2 es complejo por su naturaleza camuflada, pero existen medidas que dificultan su éxito: vigilar y filtrar el tráfico de red, aplicar políticas estrictas de salidas en los firewalls, desplegar sistemas de detección de intrusiones, monitorizar señales de balizas (beacons) y realizar auditorías y controles regulares. Estas prácticas no garantizan la eliminación del riesgo, pero sí elevan significativamente la probabilidad de descubrir y mitigar actividades de comando y control.
