Censys за неделю выявила 85 командно-контрольных серверов

Для поиска C2-инфраструктуры Censys использовала собственную поисковую платформу, которая сканирует открытые порты и сервисы по всему миру. Поисковая система непрерывно обходит диапазоны IP-адресов и собирает информацию об ответах сервисов. Это позволяет находить серверы, которые ведут себя как C2: например, используют характерные порты или отдают специфические ответы на запросы. Система сопоставляет найденные узлы с известными сигнатурами вредоносных фреймворков. В мониторинг на этой неделе попали восемь популярных платформ: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, а также ряд других. Каждая из них предоставляет злоумышленникам разные возможности - от простого удалённого доступа до сложного планирования многоступенчатых атак.

По данным Censys, распределение выявленных серверов по фреймворкам оказалось неравномерным. Лидером стал Mythic - на него пришлось 26 адресов. Немного уступил Cobalt Strike с 24 серверами. Затем следуют Havoc - 14, Sliver - 13, SuperShell - четыре. Один сервер работал на Empire. Дополнительно атакующие использовали три адреса одновременно для двух инструментов, например Sliver и Havoc или Cobalt Strike и SuperShell. Такое сочетание позволяет атакующим гибко менять тактику и затрудняет обнаружение инфраструктуры.

Cobalt Strike - одна из самых известных платформ, изначально созданная для тестирования на проникновение. Однако она быстро попала в арсенал киберпреступников. Mythic и Sliver - сравнительно новые инструменты, предоставляющие широкие возможности для скрытного управления. Havoc и Empire команды используют реже, но они тоже встречаются в реальных атаках. NimPlant представляет собой относительно простой фреймворк, который, тем не менее, способен выполнять базовые команды на заражённой системе. Выбор конкретного инструмента зависит от целей, уровня подготовки атакующих и требуемой степени скрытности.

География размещения C2-серверов охватывает более двадцати стран. Часть адресов располагалась в США, Германии, Франции, Великобритании, Нидерландах. Другие находились в Китае, Гонконге, Сингапуре, а также в таких юрисдикциях, как Маврикий и Сейшельские острова. Использование облачных провайдеров затрудняет атрибуцию (установление источника атаки), поскольку один и тот же IP-адрес может быстро достаться другому клиенту. Отчёт указывает, что часть серверов работала в дата-центрах на Маврикии и Сейшелах - распространённых офшорных зонах, где действует менее строгий контроль. Злоумышленники активно арендуют мощности у легитимных облачных провайдеров: Microsoft Azure, Amazon Web Services, Google Cloud, Oracle, а также у европейских хостингов Contabo, OVH, DigitalOcean, Vultr. Подобная практика позволяет быстро разворачивать новые серверы и менять их при обнаружении.

Помимо основных C2-фреймворков, аналитики Censys отметили несколько вредоносных панелей, найденных в тех же поисковых выдачах. Одна из них получила название Snow Stealer. Судя по всему, это панель управления инфостилером - вредоносной программой, которая похищает пароли, файлы cookie и другие конфиденциальные данные с устройств жертв. Злоумышленники обычно распространяют инфостилеры через фишинговые письма или поддельные загрузки. После заражения они собирают сохранённые в браузере пароли и данные банковских карт. Затем эта информация поступает на панель управления, доступную злоумышленнику через обычный браузер. Также аналитики нашли панели с названиями Kali 365 и o365. Вероятно, они служат для проведения фишинговых кампаний, имитирующих уведомления корпоративного сервиса Office 365. Через такие панели злоумышленники рассылают поддельные письма и собирают учётные данные сотрудников.

Выявление 85 активных C2-серверов всего за одну неделю говорит о высокой интенсивности киберпреступной деятельности. Наличие такой инфраструктуры - ранний признак подготовки к целевым атакам на компании. Через C2-серверы операторы могут разворачивать программы-вымогатели, начинать кражу данных или использовать заражённые машины для дальнейших вторжений. Аналитики отмечают, что злоумышленники часто разворачивают C2-инфраструктуру перед волнами атак. Например, перед атаками программ-вымогателей происходит подготовка каналов связи с будущими жертвами. Поэтому рост числа C2-серверов может предшествовать увеличению инцидентов. Для организаций это означает необходимость усилить контроль за сетевой активностью и своевременно обновлять защитные решения.

Снизить риски помогут несколько базовых мер. Компаниям следует регулярно обновлять операционные системы и прикладное программное обеспечение, чтобы закрывать известные уязвимости. Полезно использовать межсетевые экраны и системы обнаружения вторжений, которые фиксируют подозрительные соединения. Особое внимание стоит уделять исходящему трафику. C2-серверы обычно поддерживают постоянный канал связи с инфицированными машинами. Поэтому аномальные запросы к внешним адресам могут быть признаком заражения. Важно также настроить проверку DNS-запросов и HTTPS-соединений, поскольку C2-серверы часто маскируются под обычный веб-трафик. Современные системы обнаружения используют поведенческий анализ, который выявляет аномалии в активности пользователей и устройств. Такой подход помогает выявлять заражение даже при использовании шифрования.

Распределение C2-инфраструктуры по всему миру и широкое использование облачных платформ подтверждает общую тенденцию: злоумышленники переходят с собственных выделенных серверов на арендуемые мощности известных провайдеров. Это делает блокировку по отдельным IP-адресам малоэффективной. Вместо этого необходим постоянный мониторинг, анализ аномалий и обмен данными об угрозах между организациями. Координаты C2-серверов, их временные характеристики и используемые фреймворки могут указывать на конкретные киберпреступные группы. Такие данные ложатся в основу отчётов о киберугрозах и помогают компаниям настраивать защиту. Регулярное сканирование интернета, подобное тому, что провела Censys, позволяет выявлять новые командно-контрольные центры на ранних стадиях и предупреждать атаки.