Decentralized C2: Ketika Infrastruktur Komando dan Kontrol Berpindah ke Blockchain, IPFS, dan Jaringan P2P

Selama lebih dari dua dekade, pertarungan antara penyerang dan pembela siber sangat bergantung pada satu hal sederhana: siapa yang mengendalikan infrastruktur. Tim keamanan, penyedia hosting, dan lembaga penegak hukum dapat melumpuhkan serangan ransomware atau botnet cukup dengan menonaktifkan server Command and Control (C2) pusat. Begitu server pusat jatuh, ribuan host yang terinfeksi kehilangan komunikasi dengan operatornya—dan serangan pun berhenti.

Namun, aturan main itu sedang berubah secara fundamental.

Tahun 2026 menandai titik balik dalam evolusi infrastruktur serangan siber. Kelompok ancaman modern mulai meninggalkan arsitektur C2 terpusat yang rapuh dan beralih ke infrastruktur komando dan kontrol terdesentralisasi yang memanfaatkan teknologi blockchain, InterPlanetary File System (IPFS), dan jaringan peer-to-peer (P2P) untuk menciptakan sistem komando yang hampir mustahil untuk dihentikan.

Artikel ini akan mengupas secara teknis bagaimana desentralisasi C2 bekerja, contoh nyata yang sudah terdeteksi di alam liar, serta implikasi strategisnya bagi pertahanan siber modern.

Dari Server Terpusat ke Jaringan Tanpa Pusat

Untuk memahami mengapa pergeseran ini revolusioner, kita perlu melihat kembali bagaimana C2 tradisional bekerja.

Arsitektur C2 Tradisional

Dalam model klasik, malware terhubung ke satu atau beberapa server pusat untuk menerima perintah dan mengeksfiltrasi data:

[Malware A] ──→ [C2 Server (IP: 203.0.113.45)] ←── [Malware B]
[Malware C] ──→ [C2 Server (IP: 203.0.113.45)]
               ↓
         [Terkena Takedown]
               ↓
   [Semua Bot Kehilangan Koneksi]

Kelemahan fatal dari model ini adalah titik kegagalan tunggal (single point of failure). Takedown oleh penyedia hosting, penyitaan domain, atau blokir oleh ISP cukup untuk melumpuhkan seluruh botnet.

Kebangkitan Decentralized C2

Desentralisasi C2 menghilangkan titik kegagalan tunggal tersebut dengan menyebarkan logika komando dan kontrol ke jaringan yang tidak memiliki pusat:

[Malware A] ──→ [IPFS Gateway] ←── [Malware B]
[Malware C] ──→ [Blockchain Tx] ←── [Malware D]
[Malware E] ──→ [Smart Contract] ←── [Malware F]
               ↓
    [Tidak Ada Server Pusat untuk Ditakedown]
               ↓
    [Jaringan Tetap Berjalan Meskipun Node Individual Jatuh]

Tidak ada satu server pun yang menjadi pusat komando. Perintah tidak disimpan di satu tempat, melainkan didistribusikan di ribuan node di seluruh dunia. Untuk menghentikan C2 semacam ini, Anda harus menutup setiap node secara bersamaan—sebuah tugas yang secara teknis hampir mustahil.

Tiga Pilar Decentralized C2

Setidaknya ada tiga teknologi utama yang digunakan oleh kelompok ancaman untuk membangun infrastruktur C2 terdesentralisasi.

1. IPFS (InterPlanetary File System)

IPFS adalah protokol dan jaringan P2P untuk menyimpan dan berbagi data dalam sistem file terdistribusi. Alih-alih merujuk file berdasarkan lokasi (seperti URL tradisional), IPFS merujuk file berdasarkan hash kontennya (Content Identifier/CID).

Cara Kerjanya dalam C2:

Operator malware mengunggah payload, konfigurasi, atau perintah ke jaringan IPFS.
File tersebut mendapatkan CID unik berdasarkan isinya (misalnya: QmXoypizjW3WknFiJnKLwHCnL72vedxjQkDDP1mXWo6uco).
Malware di host korban mengakses file melalui gateway IPFS publik (seperti ipfs.io, cloudflare-ipfs.com, atau Infura).
Karena konten tersebar di ribuan node, menghapus file dari IPFS secara global hampir mustahil—kecuali jika semua node yang menyimpan file tersebut offline secara bersamaan.

Contoh Nyata:

Peneliti keamanan dari Unit 42 Palo Alto Networks mendokumentasikan penggunaan IPFS yang meluas oleh berbagai keluarga malware:

Malware	Fungsi IPFS	Tahun Terdeteksi
IPStorm	C2 channel P2P melalui IPFS	2019-2026
OriginLogger	Hosting payload dan exfiltrasi data	2024-2026
XLoader	Distribusi binary melalui gateway IPFS	2023-2026
Dark Utilities	Staging payload dan phishing kit	2024-2026
XMRig	Hosting konfigurasi mining pool	2023-2026

Sumber: Palo Alto Networks Unit 42 — “Threat Actors Rapidly Adopt Web3 IPFS Technology”; Cisco Talos — “Cyber Criminal Adoption of IPFS”.

Mengapa Ini Efektif:

Gateway IPFS publik (seperti Cloudflare) sering masuk daftar putih di banyak jaringan perusahaan, membuat lalu lintas C2 tampak seperti lalu lintas web normal.
CID dapat diubah dengan memodifikasi file dan mendapatkan hash baru, memungkinkan rotasi C2 yang mulus.
Tidak ada domain atau IP yang perlu diblokir—pelaku hanya perlu membagikan CID baru melalui saluran sekunder.

2. Blockchain sebagai C2

Jika IPFS digunakan untuk menyimpan file, blockchain digunakan untuk menyampaikan perintah dan memperbarui konfigurasi secara real-time.

Cara Kerjanya dalam C2:

Operator membuat transaksi kecil di blockchain publik (Ethereum, Solana, BNB Chain, atau Bitcoin) dengan data yang disisipkan di bidang calldata, memo, atau OP_RETURN.
Data tersebut dapat berupa: alamat server C2 baru, perintah spesifik untuk bot tertentu, atau kunci enkripsi baru.
Malware di host korban secara berkala memindai blockchain untuk transaksi baru dari alamat dompet operator.
Ketika transaksi baru terdeteksi, malware mengekstrak data perintah dan menjalankannya.

Keunggulan Blockchain untuk C2:

Aspek	Server C2 Tradisional	Blockchain C2
Ketahanan	Mudah ditakedown	Hampir mustahil (data tersebar di ribuan node)
Biaya Operasional	Sewa server bulanan	Biaya gas transaksi (sangat rendah)
Anonimitas	Bergantung pada hosting	Transaksi publik tapi pseudonim
Deteksi	Lalu lintas ke IP mencurigakan	Lalu lintas ke RPC node/explorer (sering whitelisted)
Rotasi	Perlu infrastruktur baru	Cukup buat transaksi baru dari dompet baru

Contoh Konseptual:

// Simplified Solidity pseudocode — bagaimana smart contract bisa digunakan sebagai C2
// Ini adalah ilustrasi konseptual, bukan kode produksi

contract C2Registry {
    address public operator;
    mapping(uint => string) public commands;
    uint public commandCount;

    constructor() {
        operator = msg.sender;
    }

    function issueCommand(string memory cmd) public {
        require(msg.sender == operator);
        commands[commandCount] = cmd;
        commandCount++;
    }

    function getLatestCommand() public view returns (string memory) {
        return commands[commandCount - 1];
    }
}

Malware yang terinfeksi cukup memanggil fungsi getLatestCommand() melalui RPC publik (Infura, Alchemy, QuickNode) tanpa pernah berkomunikasi langsung dengan server operator.

3. Jaringan P2P untuk Komunikasi Bot-ke-Bot

Tingkat desentralisasi tertinggi adalah ketika botbot dalam jaringan tidak perlu menghubungi server atau blockchain sama sekali. Sebaliknya, mereka membentuk jaringan P2P di mana setiap bot bertindak sebagai relay untuk bot lainnya.

Cara Kerjanya:

Setiap host yang terinfeksi menjadi node dalam jaringan P2P.
Perintah dari operator disuntikkan ke satu atau beberapa node seed.
Node-node tersebut menyebarkan perintah ke tetangga mereka melalui protokol gossip (mirip dengan cara kerja blockchain atau BitTorrent).
Dalam hitungan menit, seluruh jaringan menerima perintah tanpa ada server pusat yang mendistribusikannya.

Contoh Nyata:

IPStorm (2019-2026): Malware ini menggunakan protokol IPFS secara langsung sebagai lapisan komunikasi P2P. Setiap host yang terinfeksi menjadi node IPFS, dan perintah disebarkan melalui jaringan IPFS itu sendiri.
Sality dan ZeroAccess: Botnet P2P klasik yang masih aktif hingga saat ini, menunjukkan bahwa arsitektur P2P untuk C2 bukanlah teori—ia sudah berjalan selama bertahun-tahun.

Mengapa Tren Ini Meningkat Drastis di 2026?

Beberapa faktor mendorong adopsi massal decentralized C2 pada tahun 2026:

1. Kegagalan Takedown Tradisional

Tahun 2025-2026 menjadi saksi beberapa operasi penegakan hukum besar yang menargetkan infrastruktur C2 terpusat. Meskipun beberapa berhasil, dampaknya sering bersifat sementara. Kelompok ransomware seperti LockBit, BlackCat, dan Hive telah pulih dari takedown dalam hitungan hari. Pelajaran yang mereka ambil: jangan pernah menempatkan semua telur dalam satu keranjang server.

2. Kematangan Blockchain Infrastructure

Infrastruktur blockchain publik kini telah mencapai tingkat kematangan yang membuatnya layak digunakan untuk operasi kriminal skala besar. Dengan biaya transaksi yang sangat rendah di Solana dan Polygon, serta ketersediaan RPC publik yang melimpah (Infura, Alchemy, QuickNode), hambatan teknis untuk membangun C2 berbasis blockchain hampir hilang sama sekali.

3. Ketersediaan Alat Bantu

Proyek open-source seperti LibP2P (dari Protocol Labs) dan OrbitDB pada IPFS menyediakan fondasi siap pakai untuk membangun jaringan P2P. Pelaku ancaman tidak perlu membangun semuanya dari awal—mereka cukup memanfaatkan pustaka yang sudah ada dan menyesuaikannya untuk tujuan jahat.

4. Kesenjangan Deteksi

Sebagian besar alat deteksi keamanan jaringan (IDS/IPS, NDR, SIEM) masih dirancang untuk mendeteksi lalu lintas C2 tradisional: koneksi keluar ke IP atau domain yang mencurigakan. Lalu lintas ke gateway IPFS publik, RPC blockchain, atau node P2P sering lolos dari deteksi karena:

Gateway IPFS menggunakan domain yang legitimate (Cloudflare, Infura, dll.)
Lalu lintas RPC blockchain menggunakan HTTPS standar pada port 443.
Protokol P2P dirancang untuk lalu lintas yang tampak acak dan terdistribusi.

Studi Kasus: IPStorm — Pelopor C2 Berbasis IPFS

IPStorm (InterPlanetary Storm) adalah malware yang menjadi contoh pertama penggunaan IPFS sebagai saluran C2 utama. Ditemukan pertama kali pada tahun 2019 dan terus berkembang hingga 2026, IPStorm menginfeksi sistem Windows, Linux, macOS, dan Android.

Bagaimana IPStorm Bekerja:

Infeksi Awal: Menyebar melalui SSH brute-force dan eksploitasi kerentanan pada aplikasi web.
Bootstrapping: Setelah menginfeksi host, malware mengunduh binary IPFS dan bergabung dengan jaringan IPFS publik.
Komunikasi: Semua perintah dari operator disebarkan melalui jaringan IPFS. Operator cukup mempublikasikan file baru ke IPFS dengan CID tertentu, dan semua host yang terinfeksi akan mengambilnya.
Resiliensi: Karena IPFS adalah jaringan terdistribusi, menghapus satu node pun tidak akan menghentikan jaringan. Bahkan jika 90% node offline, sisa 10% masih dapat berkomunikasi satu sama lain.

Pelajaran dari IPStorm:

IPStorm membuktikan bahwa decentralized C2 bukan sekadar konsep teoretis. Ia berjalan di alam liar selama lebih dari 7 tahun dan terus bertahan hingga hari ini karena arsitekturnya yang terdesentralisasi secara fundamental.

Implikasi untuk Pertahanan Siber

Pergeseran menuju decentralized C2 memerlukan perubahan paradigma dalam strategi pertahanan:

1. Deteksi Berbasis Perilaku, Bukan Reputasi

Pemblokiran berbasis daftar IP dan domain menjadi tidak relevan ketika C2 beroperasi melalui gateway IPFS publik atau RPC blockchain. Organisasi perlu beralih ke deteksi berbasis perilaku lalu lintas—mencari pola komunikasi yang tidak biasa, bukan sekadar mencocokkan dengan daftar hitam.

2. Monitoring Traffic ke Gateway Terdesentralisasi

Lalu lintas keluar ke gateway IPFS atau RPC blockchain harus dipantau secara ketat. Meskipun lalu lintas ini mungkin sah untuk penggunaan bisnis, lonjakan volume atau koneksi yang persisten ke gateway tertentu dapat menjadi indikator kompromi.

3. Segmentasi Jaringan Mikro

Kemampuan decentralized C2 untuk bertahan dari takedown eksternal membuat pencegahan menjadi semakin penting. Segmentasi jaringan mikro (micro-segmentation) dan zero-trust network access (ZTNA) memastikan bahwa meskipun C2 tetap hidup, kemampuan malware untuk menyebar secara lateral tetap terbatas.

4. Threat Intelligence Baru

Tim threat intelligence perlu memperluas cakupan pemantauan mereka:

Pantau transaksi blockchain dari alamat dompet yang diketahui terkait dengan kelompok ancaman.
Pantau publikasi file baru di IPFS dengan CID yang mencurigakan.
Kembangkan deteksi untuk pola gossip protocol pada jaringan P2P internal.

5. Kolaborasi dengan Penyedia Gateway

Infura, Cloudflare, dan penyedia gateway IPFS lainnya perlu dilibatkan dalam upaya mitigasi. Meskipun mereka tidak dapat menghapus konten dari jaringan IPFS itu sendiri, mereka dapat memblokir akses ke CID tertentu melalui gateway mereka—mengurangi permukaan serangan tanpa menghentikan jaringan sepenuhnya.

Masa Depan: Dari C2 ke Autonomous Operation

Tren yang lebih mengkhawatirkan adalah konvergensi antara decentralized C2 dan AI otonom. Jika self-replicating AI worm (yang dibahas dalam artikel kami sebelumnya) dikombinasikan dengan infrastruktur C2 terdesentralisasi, kita akan menghadapi ancaman yang:

Tidak memiliki server pusat yang bisa ditakedown.
Mampu menemukan dan mengeksploitasi celah secara otonom.
Dapat mereplikasi diri tanpa batas melalui jaringan P2P.
Menerima perintah melalui transaksi blockchain yang hampir mustahil dicegah.

Ini bukan lagi skenario film fiksi ilmiah—itu adalah evolusi logis dari tren yang sudah kita lihat hari ini.

Kesimpulan

Pergeseran menuju decentralized C2 adalah salah satu evolusi taktik yang paling perlu dicermati dalam satu dekade terakhir. Dengan memanfaatkan blockchain, IPFS, dan jaringan P2P, kelompok penyerang kini memiliki infrastruktur komando yang tidak memiliki server pusat untuk ditakedown, lalu lintas yang menyamar sebagai traffic web normal, dan biaya operasional yang rendah karena menumpang infrastruktur publik yang sudah ada.

Bagi tim keamanan, ini berarti strategi pertahanan berbasis pemblokiran IP dan domain sudah tidak memadai. Deteksi berbasis perilaku, segmentasi jaringan mikro, dan pemantauan lalu lintas ke layanan terdesentralisasi perlu menjadi prioritas.

Pertarungan tidak lagi tentang server mana yang harus diblokir — melainkan bagaimana mendeteksi pola komunikasi mencurigakan di tengah lautan lalu lintas digital yang legitimate. Dengan konvergensi decentralized C2 dan AI otonom yang semakin dekat, kompleksitas ini hanya akan bertambah.

Sumber

Palo Alto Networks (Unit 42) — “Threat Actors Rapidly Adopt Web3 IPFS Technology”
Cisco Talos — “Cyber Criminal Adoption of IPFS for Phishing, Malware Campaigns”
Anomali — “The InterPlanetary Storm: New Malware in Wild Using IPFS P2P Network”
CISA — “Understanding and Responding to Distributed C2 Infrastructure”
Protocol Labs — “LibP2P: A Modular Network Stack”
Laporan Threat Intelligence Internal, Seraphim News — 2025-2026.