C2サーバーとは？仕組み・ボットネット・Fast Flux・DGA・検知方法・企業の対策を徹底解説

「感染したマルウェアが外部と通信しているらしいが、通信先が何なのかわからない」「C2サーバーって何？なぜマルウェアはC2に接続するの？」「C2通信を検知・遮断するにはどうすればいい？」——インシデント対応・ネットワーク監視の現場でよく出てくるのが「C2サーバー」という概念です。

C2サーバー（C&Cサーバー：Command and Control Server）とは、攻撃者がマルウェアに感染した端末（ボット）を遠隔から操作・制御するために使用するサーバーです。感染端末はC2サーバーから指令（コマンド）を受け取り、データ窃取、横展開、ランサムウェアの展開、DDoS攻撃の実行などを行うことがあります。

現代の多くの高度なマルウェアやボットネットでは、感染端末の制御や追加攻撃のためにC2サーバーが利用されます。

C2サーバーとは？

C2サーバー（Command and Control Server：コマンド＆コントロールサーバー）とは、攻撃者がマルウェアに感染したコンピューターやIoT機器を遠隔から操作・管理するために使用するサーバーです。「C&Cサーバー」とも呼ばれます。

「悪の司令塔」のたとえ
C2サーバーは「攻撃者が指揮する悪の司令塔」のようなものです。攻撃者は司令塔であるC2サーバーから「データを盗め」「他のPCに感染を広げろ」「DDoS攻撃を開始しろ」といった命令を送ります。感染端末は定期的に司令塔へ“報告”に行き、命令を受け取って実行します。攻撃者はC2サーバーを通じて、多数の感染端末を一括して制御できる場合があります。

C2サーバーの役割

コマンドの送信：感染端末に「何をするか」を指示する
データの受信：感染端末から盗んだ認証情報、ファイル、端末情報などを受け取る
マルウェアの更新：感染端末上のマルウェアを新しいバージョンへ更新する
追加ペイロードの配信：ランサムウェア、RAT、情報窃取マルウェアなどを追加で送り込む
感染端末の管理：感染端末の稼働状態、IPアドレス、OS、権限、ネットワーク環境などを把握・管理する

ボットネットとC2サーバーの関係

ボットネットとは

ボットネット（Botnet）とは、マルウェアに感染してC2サーバーなどの制御下に置かれた多数のコンピューターやIoT機器の集合体です。感染した端末の利用者は、自分のPCや機器がボットネットの一員になっていることに気づいていない場合があります。

C2サーバーとボットネットの関係

C2サーバーは、ボットネットの「頭脳」として機能します。攻撃者はC2サーバーを通じて、ボットネットに参加する多数の感染端末へ一斉に指令を出すことができます。

DDoS攻撃：ボットネット全体から標的サーバーへ大量のトラフィックを送る
スパム送信：ボットネット全体からスパムメールやフィッシングメールを大量送信する
情報窃取：各ボットが感染端末から認証情報、クレジットカード情報、ブラウザ情報などを盗んでC2へ送る
クリプトマイニング：感染端末のCPUやGPUを使って暗号資産を採掘する
追加マルウェアの展開：感染端末にランサムウェアや情報窃取型マルウェアを追加配信する

C2通信に使われるプロトコルの種類

攻撃者はC2通信を正規の通信に見せかけ、セキュリティ機器に検知されにくくするために、さまざまなプロトコルを使います。

HTTP/HTTPS

HTTP/HTTPSは、C2通信で広く使われるプロトコルの一つです。通常のWebブラウジングと同じポート（80・443）を使うため、ファイアウォールを通過しやすい特徴があります。HTTPSを使うと通信内容がSSL/TLSで暗号化されるため、内容の検査が難しくなります。

検知の難しさ：正規のWeb通信と見分けにくい
よくある特徴：定期的なビーコン通信、不自然なUser-Agent、見慣れないドメインへの通信、通常業務では使わない国やクラウドへのアクセス
対策：URLレピュテーション、ドメイン評価、SSL証明書の分析、SNIの確認、通信パターン分析

DNS

DNS（Domain Name System）を悪用したC2通信もあります。DNSクエリやレスポンスにコマンドやデータを埋め込み、外部と通信する手法はDNSトンネリングと呼ばれます。

DNS通信は業務上必要な通信として許可されやすいため、監視や制御が不十分な環境では悪用されやすい通信経路になります。

検知の難しさ：DNS通信は通常業務でも大量に発生するため、不審な通信が埋もれやすい
特徴：長いサブドメイン、エンコードされたような文字列、短時間に大量のDNSクエリ、存在しないドメインへの問い合わせ
対策：DNSログの収集、DNSクエリ長や頻度の異常検知、社内DNSサーバー経由の強制、外部DNSへの直接通信の禁止

ICMP（ICMPトンネリング）

ICMPは、pingなどで使われるプロトコルです。ICMPトンネリングでは、ICMPパケットのデータ部分にコマンドやデータを埋め込みます。通常のWeb通信ほど多くはありませんが、監視が甘い環境では見逃されることがあります。

正規クラウドサービスの悪用

Dropbox、Google Drive、OneDrive、GitHub、Slack、Discordなどの正規クラウドサービスをC2通信に悪用する手法もあります。これらのサービスへの通信は多くの組織で許可されており、HTTPSで暗号化されているため、単純な通信先ブロックだけでは検知が難しい場合があります。

例：感染端末がクラウドストレージ上の特定ファイルからコマンドを読み取る
例：窃取データを正規クラウドサービスへアップロードする
対策：業務上不要なクラウドストレージへのアクセス制限、CASB、プロキシログ監視、User-Agent分析、アップロード量の監視

ただし、DropboxやGoogle Drive、Slack、Discordなどは業務で正規利用される場合もあるため、単純な全面ブロックでは業務影響が出ることがあります。アクセス元端末、通信頻度、アップロード量、User-Agent、認証状況などを組み合わせて監視することが重要です。

SNS・掲示板の悪用

X（旧Twitter）、Reddit、Telegram、Mastodonなどのソーシャルメディアや掲示板の投稿にコマンドを埋め込む手法もあります。攻撃者は一般公開の投稿に特定のキーワードやエンコードされたコマンドを含め、感染端末がそれを読み取るようにします。

C2インフラの種類

集中型（Traditional C2）

集中型C2は、攻撃者が管理する1台または複数台のサーバーに感染端末が接続する構造です。単純で管理しやすい一方、C2サーバーが特定・遮断されると攻撃基盤が大きく機能停止する可能性があります。

P2P型（Peer-to-Peer C2）

P2P型C2は、感染端末同士が直接通信して命令を伝達する分散型の構造です。中央サーバーがないためテイクダウンが難しくなります。ZeroAccessやStormなどのボットネットが採用したことで知られています。

Fast Flux（ファストフラックス）

Fast Fluxとは、C2サーバーなどの悪性インフラのIPアドレスを短時間で高頻度に変更するDNS技術です。DNSのTTL（Time to Live）を短く設定し、頻繁にIPアドレスを切り替えることで、ブロックリストやテイクダウンを回避します。

Single Flux：1つのドメイン名に多数のIPアドレスを関連付け、頻繁に切り替える
Double Flux：DNSサーバー自体のIPアドレスも頻繁に変更し、追跡をさらに困難にする

DGA（ドメイン生成アルゴリズム）

DGA（Domain Generation Algorithm）とは、マルウェアが毎日・毎時間・毎週などの周期で大量の「ランダムに見えるドメイン名」を自動生成し、そのうちの一部をC2ドメインとして使用する仕組みです。

DGAのたとえ
DGAは「毎日1,000個の秘密の待ち合わせ場所のリストを自動生成し、そのうちの1か所だけを実際の待ち合わせ場所にする」ようなものです。防御側が特定のドメインをブロックしても、翌日には別のドメインが生成されるため、ブロックリストだけでは追いつかない場合があります。有名なDGA使用マルウェアには、Conficker、GameOver Zeus、Lockyなどがあります。

レジリエントインフラ（Bulletproof Hosting）

Bulletproof Hostingとは、法執行機関やセキュリティ組織からの停止要請に応じにくいホスティングサービスを指します。攻撃者はこうしたインフラを使い、C2サーバーやマルウェア配布サイト、フィッシングサイトなどを長期間維持しようとします。

マルウェア種類別のC2の使い方

マルウェアの種類	C2の主な用途	代表例
ランサムウェア	攻撃者との通信、追加ペイロードの取得、侵害環境の管理、身代金交渉サイトへの誘導など	Ryuk、Conti、LockBit
バンキングトロジャン／ダウンローダー	窃取した認証情報の送信、追加マルウェアの取得、Webインジェクション設定の受け取り	TrickBot、IcedID、Emotet
RAT（遠隔操作ツール）	スクリーンショット、キーロガーデータの送信、コマンド実行、ファイル操作	QuasarRAT、AsyncRAT、DarkComet、Cobalt Strike Beacon（悪用例）
情報窃取マルウェア	盗んだパスワード、クッキー、ファイル、ブラウザ情報のアップロード	RedLine Stealer、Raccoon Stealer
DDoSボット	攻撃開始・停止コマンドの受信、攻撃対象や手法の指定	Mirai、Bashlite

C2通信の検知方法

ネットワークトラフィック分析（NTA）

C2通信は、以下のような特徴的なパターンを持つことが多く、ネットワーク監視で検知できる場合があります。

ビーコン通信：感染端末が定期的にC2サーバーへ「チェックイン」する規則的な通信
異常なDNSクエリ：極めて長いサブドメイン、ランダムに見えるドメイン、大量のNXDOMAIN応答など
非標準的なポート使用：通常業務で使わないポートやプロトコルでの外部通信
大量のアウトバウンド通信：通常の業務では発生しない大量データの外部送信
不自然な通信間隔：一定間隔で繰り返される通信、深夜帯の定期通信など

脅威インテリジェンス（IOC照合）

既知のC2サーバーのIPアドレス、ドメイン、URLをIOC（侵害の痕跡）として管理し、ファイアウォール、DNSリゾルバー、プロキシ、EDRで検知・遮断します。CISAのKEVカタログ、AlienVault OTX、MISPなどの脅威インテリジェンスフィードを活用する方法があります。

ただし、攻撃者はC2インフラを短期間で変更することがあるため、IOC照合だけに依存せず、通信のふるまい検知と組み合わせることが重要です。

DNSフィルタリング

Cloudflare Gateway、Cisco UmbrellaなどのDNSフィルタリングサービスを使うと、既知のC2ドメイン、フィッシングドメイン、マルウェア配布ドメインへの名前解決をブロックできます。

企業では、端末から外部DNSへ直接問い合わせるのを禁止し、社内DNSまたは管理されたDNSフィルタリングサービスを経由させることが重要です。

エンドポイント検知（EDR）

EDRツールは、端末上で「マルウェアが外部ホストと通信を確立するプロセス」「不審なDLLインジェクション」「C2フレームワークの特徴的なビーコン動作」「通常業務では見られない子プロセス起動」などを検知します。

ネットワーク側の監視だけでは暗号化通信の内容を把握できない場合でも、EDRでプロセス、ファイル、レジストリ、通信先の関係を確認することで、C2通信の起点を特定しやすくなります。

SSL/TLS検査

プロキシやNGFWでSSL/TLSを終端して、暗号化されたHTTPS通信の内容やメタデータを検査する方法です。自己署名証明書、信頼できないCA、異常なSNI、証明書の発行元、JA3/JA4フィンガープリントなどを分析することで、不審な通信を見つけられる場合があります。

ただし、SSL/TLS検査は、プライバシー、法務、証明書ピンニング、業務アプリへの影響を考慮する必要があります。導入時は対象範囲を明確にし、金融、医療、個人利用サイトなどの除外ルールも検討します。

企業向けの具体的な対策

アウトバウンド通信の制限（許可リスト方式）

業務上必要なサービスのみへのアウトバウンド通信を許可し、それ以外をデフォルト拒否にします。特にDNS通信は社内DNSサーバーや管理されたDNSフィルタリングサービスを経由させ、外部DNSへの直接通信を禁止します。

DNSフィルタリングの導入

DNSフィルタリングを導入し、既知のC2ドメイン、フィッシングドメイン、マルウェア配布ドメインへの名前解決をブロックします。DGAやDNSトンネリング対策として、長いサブドメイン、短時間の大量クエリ、NXDOMAINの増加なども監視します。

プロキシ経由のWebアクセス強制

すべてのHTTP/HTTPSトラフィックをプロキシ経由にし、URLレピュテーション、カテゴリ制御、SSL/TLS検査、DLP（情報漏洩防止）を実施します。業務に不要なクラウドストレージ、匿名化サービス、短縮URL、未分類ドメインへのアクセスを制限することも有効です。

ネットワークセグメンテーション

感染端末が社内の他システムへ横展開できないようにネットワークを分割します。重要サーバー、バックアップ環境、管理ネットワーク、一般端末ネットワークを分離し、不要な通信を遮断します。

SIEM・NDRによる監視

SIEM（セキュリティ情報イベント管理）にネットワークフロー、DNSログ、プロキシログ、EDRログを集約し、ビーコン通信、DGAドメインへのクエリ、大量アウトバウンド通信、深夜帯の不審通信などを検知します。

NDR（Network Detection and Response）を導入すると、ネットワーク上のふるまいからC2通信や横展開の兆候を検知しやすくなります。

C2サーバーに関連する被害・注意事例2選

事例1：Emotet・TrickBotを経由した多段階攻撃

C2サーバーの危険性を理解するうえで重要なのが、EmotetやTrickBotを使った多段階攻撃です。Emotetは、メールをきっかけに感染を広げ、感染端末から外部のC2サーバーへ通信し、追加のマルウェアをダウンロードする踏み台として使われることがあります。

サイバーセキュリティ.comのEmotet解説では、Emotetが他のマルウェアやランサムウェアをダウンロードさせるゲートウェイとして機能することが説明されています。また、TrickBotは、ランサムウェア攻撃やネットワーク侵入、情報窃取に使われ、EmotetやRyuk、Contiなどと連携してきたマルウェアとして知られています。

このような攻撃では、最初の感染時点では大きな被害が見えない場合があります。しかし、C2通信を通じて追加マルウェアが投入されると、認証情報の窃取、横展開、ランサムウェア展開へ発展するおそれがあります。EDR、DNSログ、プロキシログ、ファイアウォールログでC2通信を早期に検知することが重要です。

TrickBot（トリックボット）

2024.9.8

TrickBot（トリックボット）は、主に銀行や企業を標的にしたマルウェアで、初めはオンラインバンキング情報の窃取を目的として2016年に登場しましたが、その後、多機能なモジュールを備えたマルウェアへと進化し、ランサムウェア攻撃やネットワー

事例2：MiraiボットネットによるIoT機器の悪用

C2サーバーとボットネットの関係を示す代表例が、IoTマルウェア「Mirai」です。Miraiは、初期設定のまま使われているルーター、防犯カメラ、DVRなどのIoT機器を感染させ、ボットネットを形成します。

サイバーセキュリティ.comの記事では、MiraiがIoT機器の脆弱性を悪用して大規模なボットネットを形成し、DDoS攻撃に利用されるマルウェアであると説明されています。攻撃者はC2サーバーを通じて感染機器へ指令を出し、標的に対して一斉に大量通信を発生させます。

この事例は、C2サーバーが単に感染端末を操作するだけでなく、DDoS攻撃のような大規模攻撃を実行する司令塔として機能することを示しています。IoT機器の初期パスワード変更、ファームウェア更新、不要な外部公開の停止、通信監視が重要です。

MIRAI

2024.9.8

MIRAI（ミライ）は、IoT（Internet of Things）デバイスをターゲットとしたマルウェアの一種で、2016年に発見されました。MIRAIは、感染したデバイスをボットネット（Botnet）に組み込み、大規模な分散型サービス拒

ボットネット

2024.9.3

ボットネットとは、サイバー攻撃者によって不正に遠隔操作されるコンピュータ群のネットワークを指します。ボットネットは、攻撃者がウイルスやマルウェアを使って多数のデバイスに感染させ、それらを「ボット（Bot）」として一元管理し、指示を出すことで

よくある質問（FAQ）

Q. C2サーバーとは何の略ですか？

C2サーバーは「Command and Control Server（コマンド・アンド・コントロール・サーバー）」の略で、「C&Cサーバー」とも呼ばれます。攻撃者がマルウェアに感染した端末を遠隔から操作・制御するサーバーです。

感染端末はC2サーバーに定期的に接続し、コマンドを受け取って、データ窃取、横展開、追加マルウェアの取得、DDoS攻撃などを実行することがあります。

Q. C2通信を完全にブロックする方法はありますか？

C2通信を完全にブロックすることは困難です。攻撃者はHTTP/HTTPS、DNS、正規クラウドサービス、DGA、Fast Fluxなどを使い、検知や遮断を回避しようとします。

ただし、アウトバウンド通信の許可リスト制限、DNSフィルタリング、SSL/TLS検査付きプロキシ、脅威インテリジェンスIOCの自動反映、EDR、NDR、SIEMによるふるまい検知を組み合わせることで、リスクを大きく下げることができます。

正規クラウドサービスやHTTPS、DNSを悪用するC2通信は、業務通信と見分けにくい場合があります。そのため、ブロックだけでなく、EDR・NDR・SIEMによるふるまい検知とインシデント対応体制が重要です。

Q. Cobalt Strikeとは何ですか？C2との関係は？

Cobalt Strikeは、本来はペネトレーションテストやレッドチーム演習で使われる商用ツールです。一方で、漏えい版や不正利用により、攻撃者がC2フレームワークとして悪用することがあります。

Cobalt StrikeのBeacon機能は、HTTPS、DNS、SMBなど複数の通信方式に対応しており、感染端末と攻撃者側インフラの間でC2通信を行うために悪用されることがあります。そのため、Cobalt Strikeそのものを単純に「マルウェア」と断定するのではなく、正規ツールが攻撃に悪用される代表例として理解するのが適切です。

Q. Fast FluxとDGAはどちらがより危険ですか？

Fast FluxとDGAは目的が異なるため、単純にどちらが危険とは言い切れません。Fast Fluxは、特定のドメインを維持しながらIPアドレスを頻繁に変え、ブロックリストやテイクダウンを回避します。DGAは、日々新しいドメインを大量生成し、事前のブロックを困難にします。

どちらもC2インフラの追跡や遮断を難しくする技術です。Fast FluxにはPassive DNS分析や短TTLの監視、DGAにはランダムに見えるドメイン名の検知、NXDOMAINの増加監視、機械学習ベースのDNS分析が有効です。

Q. 自社のPCがC2サーバーと通信しているか確認する方法は？

いくつかの確認方法があります。EDRツールの通信ログで不審な外部接続を確認する、ファイアウォールやプロキシログで通常業務で使わないドメイン・IPアドレスへの通信を確認する、DNSログでDGAやDNSトンネリングの兆候を探す、NDRでビーコン通信を検知する、といった方法があります。

また、アクセス先のIPアドレスやドメインをVirusTotal、Cisco Talos、urlscan.ioなどで確認する方法もあります。ただし、外部サービスへ機密情報や社内URLをそのまま投入しないよう注意が必要です。

まとめ

C2サーバー（Command and Control Server）とは、攻撃者がマルウェアに感染した端末を遠隔から操作・制御するサーバーです。感染端末はC2サーバーに定期的に通信し、データ窃取、横展開、追加マルウェア取得、ランサムウェア展開、DDoS攻撃などの命令を受け取ることがあります。

C2通信には、HTTP/HTTPS、DNS、ICMP、正規クラウドサービスの悪用など、多様なプロトコルが使われます。攻撃者はFast Flux、DGA、P2P型インフラ、Bulletproof Hostingなどを使い、検知やテイクダウンを困難にしています。

企業の対策としては、アウトバウンド通信の許可リスト制限、DNSフィルタリング、SSL/TLS検査付きプロキシ、脅威インテリジェンスIOCの活用、EDR、NDR、SIEMによるビーコン通信の異常検知を組み合わせた多層防御が重要です。

C2通信を早期に検知して遮断できれば、ランサムウェア展開や長期的な情報窃取といった深刻な被害を防止できる可能性があります。感染後の対応だけでなく、平時からログ収集、監視、インシデント対応手順を整備しておくことが重要です。