Еженедельный мониторинг глобальной инфраструктуры управления атаками выявил 75 уникальных серверов, используемых злоумышленниками. Большинство из них сконцентрировано в Азиатско-Тихоокеанском регионе, а самым популярным инструментом остаётся Cobalt Strike.
Описание
С 11 по 17 мая 2026 года группа исследователей провела масштабный анализ инфраструктуры, развёрнутой в открытом интернете. Используя возможности поискового сервиса Censys, специалисты идентифицировали 75 уникальных IP-адресов, на которых работают серверы класса C2 (Command and Control - командные центры для управления заражёнными устройствами). Эти системы служат ключевым элементом любой кибератаки: именно через них злоумышленники отдают команды вредоносному ПО, похищают данные и закрепляются в скомпрометированных сетях.
Мониторинг охватывал семь популярных фреймворков, которые хакеры используют для построения таких инфраструктур: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire и NimPlant. Каждый из них позволяет атакующим гибко управлять ботами, скрывать трафик и обходить средства защиты. Лидером по числу обнаруженных серверов стал Cobalt Strike - на него пришёлся 31 экземпляр. Это неудивительно: данный инструмент давно признан де-факто стандартом в среде киберпреступников, несмотря на попытки правоохранителей пресекать его распространение. На втором месте оказался Havoc с 15 серверами, за ним следуют Sliver (11), Mythic (9), Empire (5) и SuperShell (4).
Особое внимание привлекает география размещения этих командных центров. Значительная доля серверов Cobalt Strike базируется на мощностях китайских провайдеров - Tencent и Alibaba, а также в Гонконге, где работает множество офшорных хостинговых компаний. Например, семь адресов принадлежат сети Yancy Limited, зарегистрированной в Гонконге. Ещё несколько IP-адресов находятся в материковом Китае, в частности на инфраструктуре China Unicom. Такая концентрация не случайна: злоумышленники часто выбирают юрисдикции с менее строгим регулированием или возможностью быстро арендовать ресурсы без проверки личности.
Американские облачные платформы также активно используются: DigitalOcean, Amazon Web Services и HostPapa попали в список. Однако на этот раз европейские дата-центры, такие как Hetzner в Германии, Contabo во Франции или Scaleway во Франции, проявили себя умеренно. Примечательно, что два сервера Havoc были развёрнуты на мощностях Microsoft Corporation в Канаде, а один экземпляр Empire - на инфраструктуре Microsoft в Швеции. Это показывает, что даже крупнейшие корпорации не застрахованы от того, что их облачные ресурсы могут быть использованы в преступных целях - при условии, что злоумышленники соблюдают минимальную маскировку.
В своём отчёте исследователи раскрыли не только общую статистику, но и конкретные адреса вредоносных панелей. Помимо классических командных серверов, они обнаружили несколько активных панелей для управления стилерами - специализированными программами-похитителями данных. Речь идёт о таких образцах, как Sigma Stealer, Ask Stealer, 751 Stealer, Nyxar Stealer и Signature Stealer. Эти вредоносные программы нацелены на кражу учётных данных, файлов cookie и криптовалютных кошельков. Например, панель Ask Stealer располагалась по адресу "hxxp://54.227.170[.]100/dashboard", а Nyxar Stealer - на IP "194.163.148[.]133". Образцы последних двух уже загружены на VirusTotal, что даёт сообществу ИБ-специалистов возможность детально изучить их поведение.
Важно понимать, что стилеры - сегодня один из самых массовых классов угроз. Они продаются на подпольных форумах как услуга (Malware-as-a-Service), и любой желающий может арендовать такую панель для атаки. Наличие собственной инфраструктуры для управления ими говорит о том, что операторы вложили ресурсы в долгосрочную кампанию, а не в разовую рассылку.
Для специалистов по защите эти данные - ценный источник индикаторов компрометации. IP-адреса из списка можно немедленно внести в чёрные списки на межсетевых экранах и в системах обнаружения вторжений. Однако не стоит забывать о временном характере такой информации: злоумышленники часто меняют серверы после первых месяцев активности. Поэтому ключевым выводом становится не столько конкретный перечень адресов, сколько понимание ландшафта угроз. Cobalt Strike остаётся королём среди инструментов управления, а Азия - главной площадкой для размещения командной инфраструктуры. Компаниям, которые ведут бизнес с партнёрами в этом регионе или используют азиатские облачные сервисы, стоит усилить мониторинг трафика и обратить внимание на аномальные исходящие соединения.
Финансовые последствия таких атак могут быть катастрофическими. Утечка корпоративных данных из-за стилера, управляемого через Havoc или Sliver, способна остановить производство на несколько дней. А если злоумышленники закрепятся в сети, потребуется дорогостоящий форензический анализ. Лучшая защита - проактивный поиск угроз и регулярное обновление баз индикаторов, основанных на свежих исследованиях.
Индикаторы компрометации
