명령제어(C2) 인프라 (Command-and-Control (C2) Infrastructure)
쉽게 풀면
악성코드가 컴퓨터에 몰래 설치되었다고 해도, 공격자가 원격으로 지시를 내릴 방법이 없다면 스스로 할 수 있는 일이 제한적입니다. 명령제어(C2) 인프라는 공격자가 감염된 컴퓨터들에게 "이 파일을 훔쳐라", "이 명령을 실행해라" 같은 지시를 내리는 일종의 사령부 역할을 합니다. 마치 리모컨과 수신기처럼, 공격자는 이 인프라를 통해 멀리 떨어진 곳에서도 감염된 컴퓨터를 원격 조종할 수 있습니다. 이 사령부가 탐지되어 차단되면 공격자는 감염된 컴퓨터를 더 이상 통제할 수 없게 됩니다.
왜 중요한가
C2 인프라를 찾아내고 차단하는 것은 진행 중인 공격을 실질적으로 무력화하는 가장 효과적인 대응 방법 중 하나입니다. 이 때문에 정보보안학과 악성코드 분석 분야에서는 C2 통신 패턴을 탐지하는 네트워크 기반 방어 기법과, 공격자가 탐지를 피하기 위해 사용하는 다양한 은닉 기법이 함께 활발히 연구되고 있습니다.
논문에서는 이렇게 쓰입니다
공격자가 접속할 도메인 주소를 매번 자동으로 바꿔가며 사령부와 통신하는 방식을 분석해서, 이를 탐지하는 방법을 연구했다는 의미입니다.
사령부 역할을 하는 서버를 하나로 집중시키지 않고 감염된 컴퓨터들끼리 서로 연결하는 구조를 사용해, 일부가 차단돼도 전체 통제력을 유지하도록 설계했다는 설명입니다.
조금 더 깊게 보면
C2 인프라의 구조는 크게 중앙집중형(단일 또는 소수의 서버가 모든 감염 컴퓨터를 직접 통제), P2P형(감염 컴퓨터들이 서로 연결되어 통제 정보를 전달), 혼합형으로 나눌 수 있습니다. 탐지를 피하기 위해 정상적인 웹 트래픽이나 클라우드 서비스, 소셜미디어 플랫폼을 통신 채널로 위장하는 기법도 자주 연구 대상이 됩니다.
주의할 점
C2 서버 하나를 차단했다고 해서 공격이 완전히 끝난 것은 아니며, 특히 P2P나 다중 백업 구조를 가진 인프라는 일부 노드 차단만으로는 무력화되지 않을 수 있습니다.