Spegnere il server di command-and-control non basta se l’attaccante ha già aperto una seconda via di rientro con strumenti legittimi. In questa intrusione, la rimozione del C2 ha tolto il beacon del malware, ma non il controllo sulla macchina: la persistenza restava viva su OpenSSH e Tailscale.
Cato ha ricostruito 33 giorni di attività dell’operatore Poisson, che ha mantenuto l’accesso dopo un outage di Havoc installando OpenSSH e Tailscale sul sistema vittima. Il caso mostra anche che il C2 è tornato online solo 18 giorni dopo, permettendo agli agent di riconnettersi senza che l’accesso fosse mai davvero cessato.
Per chi usa il takedown del C2 come passo di contenimento, il punto è questo: vanno cercati anche i canali di accesso creati dall’attaccante, perché possono sopravvivere al malware e lasciare l’host ancora raggiungibile.