Глобальное сканирование выявило 347 активных C2-серверов с доминированием SuperShell и Sliver

Исследовательская группа Censys провела масштабный мониторинг командных центров, развёрнутых в открытом интернете. Согласно полученным данным, за период с 1 по 12 июля 2026 года специалисты обнаружили 347 уникальных IP-адресов, используемых злоумышленниками для управления вредоносной инфраструктурой. Эта статистика затрагивает организации любого масштаба: от небольших коммерческих фирм до государственных учреждений, поскольку атакующие всё чаще арендуют мощности у легитимных облачных провайдеров.

Описание

В поле зрения анализа попали несколько известных фреймворков для удалённого управления. В их число вошли Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire и NimPlant. Каждый из этих инструментов позволяет злоумышленнику передавать команды на скомпрометированные устройства, загружать дополнительные модули и извлекать данные. Разница между ними заключается в степени защиты трафика, уровне скрытности и удобстве настройки.

Наибольшая часть обнаруженных серверов одновременно использует SuperShell и Sliver. Вместе эти два фреймворка занимают почти 85 процентов от общего числа выявленных адресов. Так, SuperShell и Sliver совместно отмечены на 218 IP, а в конфигурации, где Sliver идёт первым, обнаружено ещё 127 адресов. Это говорит о растущей популярности связки из двух инструментов: один может отвечать за первичную полезную нагрузку, второй - за закрепление в системе и скрытый канал связи.

Отдельно выделяются 26 серверов Mythic. Этот фреймворк интересен тем, что предоставляет веб-интерфейс для управления ботами и активно обновляется сообществом. Sliver в одиночку зафиксирован на 21 IP, а SuperShell - на 16. Классический Cobalt Strike, который долгое время оставался стандартом в арсенале APT-группировок, уступил позиции: его нашли только на 13 адресах. Havoc встретился 12 раз, Empire - 2, а NimPlant - лишь однажды. Также отмечен один случай совместной работы Mythic и Sliver.

Географическое распределение серверов показывает чёткую концентрацию в нескольких юрисдикциях. Абсолютным лидером по числу адресов стала автономная система MYCLOUD-AS-AP (автономная система - совокупность IP-сетей под единым административным управлением), зарегистрированная на Луогеланг (Франс) Лимитед, но технически расположенная на Сейшельских Островах. Эта AS принадлежит LUOGELANG (FRANCE) LIMITED с пропиской в Гонконге. В её подсетях 154.220.x.x сконцентрировано несколько сотен узлов, на которых работают Sliver и SuperShell. Крупные кластеры появились в пулах адресов 154.220.120.x, 154.220.121.x, 154.220.122.x, 154.220.123.x, а также 154.220.92.x, 154.220.93.x, 154.220.94.x и 154.220.95.x.

Другие значимые хостинг-провайдеры также фигурируют в отчёте. DigitalOcean (автономная система AS14061) предоставил мощности под Cobalt Strike, Havoc, Empire и SuperShell. Российский провайдер Selectel отмечен одним сервером Havoc, а YandexCloud дал один адрес для Mythic. Сразу несколько IP-адресов Mythic располагаются у маврикийского оператора Mauritius Telecom. Китайские сети Tencent и Alibaba также внесли вклад: на их облачных платформах обнаружены Cobalt Strike, SuperShell, Havoc и Sliver. Hetzner и OVH (крупные европейские хостинг-компании) послужили площадками для Mythic, Sliver и Havoc.

Особый интерес вызывает кластер серверов на Сейшелах. Анализ дат показывает, что пик развёртывания пришёлся на 2 июля. В этот день в подсети MYCLOUD было активировано более ста узлов. Часть из них оставалась в сети и 3 июля, что подтверждается повторным появлением тех же адресов в сканировании. Такая концентрация однотипных фреймворков на небольшом диапазоне IP указывает на централизованное управление инфраструктурой. Вероятно, речь идёт об одной крупной группировке или о сервисе по предоставлению C2-доступа в аренду (C2-as-a-Service).

Предоставленный анализ данных позволил выявить ещё одну особенность: злоумышленники всё чаще отказываются от покупки дорогостоящих лицензий на Cobalt Strike. Открытые и условно-бесплатные фреймворки - Sliver, Mythic, Havoc - выходят на первый план. Они не уступают по функционалу, а в некоторых аспектах даже превосходят коммерческие аналоги за счёт модульной архитектуры и активной поддержки сообщества. NimPlant, напротив, остаётся нишевым решением: его обнаружили только один раз, что может объясняться ограниченной совместимостью или сложностью настройки.

Для специалистов по информационной безопасности эти цифры означают необходимость пересмотра правил фильтрации исходящего трафика. Традиционные сигнатуры на Cobalt Strike перестают быть достаточными. Сети компаний следует проверять на аномальные соединения к облачным провайдерам, особенно если трафик идёт к узлам, зарегистрированным на Сейшелах, в Гонконге или через маврикийских операторов. Инструменты класса EDR (endpoint detection and response - системы обнаружения и реагирования на конечных точках) должны быть настроены на выявление характерных признаков Sliver и Mythic, включая специфические паттерны сетевого обмена.

Сами по себе обнаруженные 347 IP не являются окончательной цифрой. Многие C2-серверы могут быть скрыты за балансировщиками нагрузки, использовать динамические DNS или работать через легитимные облачные службы короткое время. Тем не менее, приведённая статистика даёт чёткое представление о трендах середины 2026 года: рынок инструментов для управления атаками становится децентрализованным, а порог входа для злоумышленников снижается за счёт массового внедрения открытых фреймворков.

Индикаторы компрометации

IPv4

101.34.235.198
102.117.162.3
102.117.164.232
102.117.167.211
102.117.171.174
103.146.231.107
103.152.254.139
103.68.251.236
103.75.183.232
106.52.158.137
111.229.248.198
115.190.138.41
116.202.158.114
134.209.41.160
137.220.194.138
141.255.162.234
142.93.58.198
143.198.120.167
144.172.94.37
146.103.99.31
148.113.205.50
149.56.12.194
154.220.120.226
154.220.120.227
154.220.120.228
154.220.120.229
154.220.120.230
154.220.120.231
154.220.120.232
154.220.120.233
154.220.120.234
154.220.120.235
154.220.120.236
154.220.120.237
154.220.120.238
154.220.120.239
154.220.120.240
154.220.120.241
154.220.120.242
154.220.120.243
154.220.120.244
154.220.120.245
154.220.120.246
154.220.120.247
154.220.120.248
154.220.120.249
154.220.120.250
154.220.120.251
154.220.120.252
154.220.120.253
154.220.120.254
154.220.121.34
154.220.121.35
154.220.121.36
154.220.121.37
154.220.121.38
154.220.121.39
154.220.121.40
154.220.121.41
154.220.121.42
154.220.121.43
154.220.121.44
154.220.121.45
154.220.121.46
154.220.121.47
154.220.121.48
154.220.121.49
154.220.121.50
154.220.121.51
154.220.121.52
154.220.121.53
154.220.121.54
154.220.121.55
154.220.121.56
154.220.121.57
154.220.121.58
154.220.121.59
154.220.121.60
154.220.121.61
154.220.121.62
154.220.122.100
154.220.122.101
154.220.122.102
154.220.122.103
154.220.122.104
154.220.122.105
154.220.122.106
154.220.122.107
154.220.122.108
154.220.122.109
154.220.122.110
154.220.122.111
154.220.122.112
154.220.122.113
154.220.122.114
154.220.122.115
154.220.122.116
154.220.122.117
154.220.122.118
154.220.122.119
154.220.122.120
154.220.122.121
154.220.122.122
154.220.122.123
154.220.122.124
154.220.122.125
154.220.122.126
154.220.122.98
154.220.122.99
154.220.123.162
154.220.123.163
154.220.123.164
154.220.123.165
154.220.123.166
154.220.123.167
154.220.123.168
154.220.123.169
154.220.123.170
154.220.123.171
154.220.123.172
154.220.123.173
154.220.123.174
154.220.123.175
154.220.123.176
154.220.123.177
154.220.123.178
154.220.123.179
154.220.123.180
154.220.123.181
154.220.123.182
154.220.123.183
154.220.123.184
154.220.123.185
154.220.123.186
154.220.123.187
154.220.123.188
154.220.123.189
154.220.123.190
154.220.92.162
154.220.92.163
154.220.92.164
154.220.92.165
154.220.92.166
154.220.92.167
154.220.92.168
154.220.92.169
154.220.92.170
154.220.92.171
154.220.92.172
154.220.92.173
154.220.92.174
154.220.92.175
154.220.92.176
154.220.92.177
154.220.92.178
154.220.92.179
154.220.92.180
154.220.92.181
154.220.92.182
154.220.92.183
154.220.92.184
154.220.92.185
154.220.92.186
154.220.92.187
154.220.92.188
154.220.92.189
154.220.92.190
154.220.93.226
154.220.93.227
154.220.93.228
154.220.93.229
154.220.93.230
154.220.93.231
154.220.93.232
154.220.93.233
154.220.93.234
154.220.93.235
154.220.93.236
154.220.93.237
154.220.93.238
154.220.93.239
154.220.93.240
154.220.93.241
154.220.93.242
154.220.93.243
154.220.93.244
154.220.93.245
154.220.93.246
154.220.93.247
154.220.93.248
154.220.93.249
154.220.93.250
154.220.93.251
154.220.93.252
154.220.93.253
154.220.93.254
154.220.94.34
154.220.94.35
154.220.94.36
154.220.94.37
154.220.94.38
154.220.94.39
154.220.94.40
154.220.94.41
154.220.94.42
154.220.94.43
154.220.94.44
154.220.94.45
154.220.94.46
154.220.94.47
154.220.94.48
154.220.94.49
154.220.94.50
154.220.94.51
154.220.94.52
154.220.94.53
154.220.94.54
154.220.94.55
154.220.94.56
154.220.94.57
154.220.94.58
154.220.94.59
154.220.94.60
154.220.94.61
154.220.94.62
154.220.95.100
154.220.95.101
154.220.95.102
154.220.95.103
154.220.95.104
154.220.95.105
154.220.95.106
154.220.95.107
154.220.95.108
154.220.95.109
154.220.95.110
154.220.95.111
154.220.95.112
154.220.95.113
154.220.95.114
154.220.95.115
154.220.95.116
154.220.95.117
154.220.95.118
154.220.95.119
154.220.95.120
154.220.95.121
154.220.95.122
154.220.95.123
154.220.95.124
154.220.95.125
154.220.95.126
154.220.95.98
154.220.95.99
154.36.167.34
154.36.188.157
154.82.93.89
155.117.233.40
156.38.149.102
158.160.191.88
159.100.13.25
162.248.102.130
162.252.198.93
165.154.254.203
165.232.172.200
165.245.188.69
167.71.14.20
170.62.130.254
173.249.24.135
173.249.27.195
175.43.223.201
179.43.149.250
179.43.149.251
179.43.149.252
179.43.149.253
18.136.74.230
185.103.164.149
185.112.59.201
185.221.196.71
185.241.40.9
186.241.104.39
188.245.216.239
192.151.228.142
194.26.192.117
195.172.137.117
20.2.87.168
203.9.150.23
203.91.75.89
204.194.49.142
209.99.188.80
213.145.86.232
213.165.42.57
23.132.164.13
23.27.180.225
31.172.80.82
34.253.131.183
38.207.176.218
38.224.162.198
38.54.61.225
39.106.80.126
42.240.167.114
43.167.226.54
43.228.79.77
45.136.15.135
45.138.70.138
45.145.5.254
45.207.222.132
45.250.199.243
45.250.199.244
45.250.199.245
45.250.199.246
45.64.246.159
45.64.246.163
47.254.73.23
47.93.135.155
47.93.236.243
47.96.154.174
64.227.143.36
66.92.249.136
77.105.169.126
8.133.197.201
87.232.83.18
94.156.179.168
98.92.202.17