Hola, estás en lo correcto, de hecho así trabajan los Ransomware con un servidor C&C (Comando y Control) que envían órdenes al malware y éste de acuerdo a la órden recibida opera de una u otra forma.

La conexión sirve justamente para eso mismo, para tener control y comunicación entre dos extremos, y para eso es que se utilizan los sockets.
De hecho todo de basa en sockets, desde un pequeño script hasta programas como navegadores, WhatsApp, YouTube, Facebook Messenger, etc., todo lo que se conecte a internet utilizan sockets.

Por ejemplo una librería de Python como urllib2 es fácil de usar pero si miramos su código fuente seguramente veremos una conexión socket en raw de como se envían las solicitudes a un destino web, aunque sean solicitudes HTTP pero están basadas en sockets, todo está basado en sockets.


Saludos

Muchísimas gracias a ambos por sus respuestas, estuve esperando, ahora ya sé en que debo enfocarme