Una C2 API è l'interfaccia di comando e controllo che gli attaccanti usano per gestire i sistemi compromessi. Invece di accedere manualmente a ciascun host, un operatore invia istruzioni tramite un'API in stile web per avviare attività, recuperare dati, aggiornare impostazioni o instradare il traffico attraverso proxy e tunnel. Molte C2 API sono progettate per sembrare normali servizi HTTP, il che aiuta a farle passare inosservate nel traffico di rete comune.
Questo è importante perché il C2 è il piano di controllo di un'intrusione: se i difensori non riescono a vederlo o bloccarlo, le macchine infette possono rimanere utili per il furto di credenziali, il movimento laterale e l'accesso persistente. Negli attacchi reali, i difensori possono individuare le C2 API attraverso richieste in uscita insolite, beaconing ripetitivo, comportamenti di autenticazione anomali o attività dei processi che non corrisponde al ruolo dell'host. Honeypot e analisi del traffico sono particolarmente preziosi perché possono rivelare i percorsi API, i modelli di assegnazione dei compiti e gli indicatori senza attendere una compromissione in produzione.