تهیه زیرساخت

مهاجمان دامنه‌هایی را ثبت می‌کنند که می‌توانند در طول عملیات از آن‌ها استفاده کنند. این دامنه‌ها ممکن است برای میزبانی C2، صفحات فیشینگ، توزیع بدافزار یا سایر اهداف استفاده شوند. مهاجمان اغلب دامنه‌هایی را انتخاب می‌کنند که شبیه دامنه‌های قانونی هستند (typosquatting) یا از دامنه‌های منقضی‌شده با تاریخچه خوب استفاده می‌کنند.

مهاجمان سرورهای DNS را برای استفاده در عملیات تهیه می‌کنند. سرورهای DNS اختصاصی به مهاجم اجازه می‌دهند زیرساخت C2 را مدیریت کند، ترافیک را هدایت کند و از تکنیک‌هایی مانند Fast Flux استفاده کند. این رویکرد انعطاف‌پذیری بیشتری در مدیریت زیرساخت مهاجم فراهم می‌کند.

مهاجمان سرورهای مجازی خصوصی (VPS) را از ارائه‌دهندگان ابری اجاره می‌کنند. VPS ها به مهاجم اجازه می‌دهند زیرساخت C2 را با هزینه کم و ناشناس بودن نسبی راه‌اندازی کند. مهاجمان اغلب از ارائه‌دهندگانی استفاده می‌کنند که احراز هویت ضعیفی دارند یا پرداخت با ارز دیجیتال را می‌پذیرند.

مهاجمان سرورهای فیزیکی یا مجازی را برای استفاده در عملیات خریداری یا اجاره می‌کنند. این سرورها ممکن است برای میزبانی C2، ذخیره داده‌های سرقت‌شده، توزیع بدافزار یا سایر اهداف استفاده شوند. مهاجمان اغلب از سرویس‌های hosting که احراز هویت ضعیف دارند استفاده می‌کنند.

مهاجمان بات‌نت‌هایی را خریداری یا اجاره می‌کنند که می‌توانند برای حملات DDoS، توزیع اسپم، فیشینگ یا سایر عملیات استفاده شوند. بات‌نت‌ها شبکه‌ای از سیستم‌های آلوده هستند که توسط مهاجم کنترل می‌شوند. استفاده از بات‌نت‌های موجود به مهاجم اجازه می‌دهد عملیات گسترده‌ای را با هزینه کم انجام دهد.

مهاجمان از سرویس‌های وب قانونی مانند GitHub، Pastebin، Google Drive، Dropbox یا سرویس‌های ابری برای میزبانی C2، ذخیره payload یا استخراج داده استفاده می‌کنند. استفاده از سرویس‌های قانونی به مهاجم کمک می‌کند ترافیک مخرب را در ترافیک عادی پنهان کند.

مهاجمان از پلتفرم‌های serverless مانند AWS Lambda، Azure Functions یا Google Cloud Functions برای اجرای کد مخرب استفاده می‌کنند. این رویکرد به مهاجم اجازه می‌دهد زیرساخت C2 را بدون نیاز به مدیریت سرور راه‌اندازی کند و از مزایای مقیاس‌پذیری و ناشناس بودن ارائه‌دهندگان ابری بهره ببرد.

مهاجمان فضای تبلیغاتی را در شبکه‌های تبلیغاتی قانونی خریداری می‌کنند تا کاربران را به محتوای مخرب هدایت کنند. این تبلیغات ممکن است حاوی کد مخرب باشند که به صورت خودکار اجرا می‌شود یا کاربر را به صفحات فیشینگ هدایت کند. Malvertising به مهاجم اجازه می‌دهد طیف گسترده‌ای از کاربران را هدف قرار دهد.