Активность современных киберпреступников и групп целевых атак немыслима без развитой инфраструктуры. Ключевым её элементом являются серверы управления, которые позволяют злоумышленникам удалённо контролировать заражённые системы, похищать данные и перемещаться внутри корпоративных сетей. Еженедельный мониторинг подобной инфраструктуры критически важен для прогнозирования угроз, проактивного поиска компрометаций и понимания глобальных тенденций в арсенале противника. Новые данные за третью неделю апреля 2026 года демонстрируют, как разнообразный ландшафт инструментов и география размещения серверов усложняют задачи защитников.
Описание
В ходе исследования, проведённого с 13 по 19 апреля 2026 года, в открытом доступе в интернете было обнаружено и идентифицировано 70 уникальных IP-адресов, используемых в качестве C2-серверов. Мониторинг охватывал широкий спектр популярных среди атакующих фреймворков, включая Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire и NimPlant. Результаты наглядно показывают распределение предпочтений злоумышленников. Абсолютным лидером по количеству обнаруженных экземпляров остаётся Cobalt Strike - легитимный инструмент для тестирования на проникновение, который десятилетиями используется киберпреступниками для реальных атак. На его долю пришлось 26 серверов. На втором месте оказался открытый постэксплуатационный фреймворк Havoc с 19 серверами, что свидетельствует о его растущей популярности в подпольных сообществах. Замыкают тройку лидеров 14 серверов на базе Mythic, ещё одной мощной платформы для управления атаками.
Географическое распределение инфраструктуры представляет особый интерес для аналитиков угроз. Адреса серверов были зарегистрированы в 20 странах на четырёх континентах, что подчёркивает глобальный характер угрозы. Наиболее часто в выборке встречались адреса, относящиеся к облачным провайдерам и хостинг-компаниям США, Германии, Франции и Китая. Важно отметить, что страна регистрации IP-адреса (Autonomous System) далеко не всегда указывает на реальное физическое расположение сервера или национальную принадлежность атакующих. Злоумышленники целенаправленно арендуют ресурсы у международных облачных гигантов и хостинг-провайдеров, чтобы затруднить атрибуцию, повысить доступность своей инфраструктуры и использовать доверие к известным сетевым блокам для обхода простых правил фильтрации.
Детальный анализ данных, представленных в отчёте, позволяет сделать несколько важных наблюдений. Во-первых, сохраняется устойчивая тенденция использования легальных и открытых инструментов в злонамеренных целях. Такие фреймворки, как Cobalt Strike или Havoc, обладают развитым функционалом для обхода защитных систем, что делает их привлекательными для профессионалов. Во-вторых, заметна диверсификация инструментария: вместо тотального доминирования одного решения атакующие активно экспериментируют с альтернативами, возможно, в ответ на улучшение детектов сигнатур со стороны вендоров. В-третьих, инфраструктура размещается в облаках крупнейших провайдеров, таких как Amazon Web Services (AS16509), DigitalOcean (AS14061), Microsoft Azure (AS8075) и Alibaba Cloud (AS37963). Это позволяет злоумышленникам быстро разворачивать и ликвидировать серверы, маскируя свою активность под легиматный трафик миллионов клиентов.
Последствия работы подобной инфраструктуры для бизнеса и государственных организаций могут быть катастрофическими. C2-серверы служат нервным центром для атак программ-вымогателей, целевых шпионских кампаний и массовых заражений ботнетами. Через них происходит кража конфиденциальных данных, дешифровка файлов после выкупа и координация перемещения по сети жертвы. Обнаружение даже одного такого сервера, связанного с внутренними активами компании, является верным признаком серьёзного инцидента информационной безопасности. При этом публичное выявление серверов, как в данном исследовании, - лишь верхушка айсберга, так как опытные противники всё чаще используют технику "живучести"с доменами, меняющимися по алгоритму, или скрытые каналы связи в популярных веб-сервисах.
Таким образом, еженедельное появление десятков новых C2-серверов по всему миру является индикатором высокой активности угроз. Для специалистов по защите это означает необходимость непрерывного совершенствования мониторинга сетевой активности, внедрения систем анализа трафика, способных выявлять аномальные соединения, и использования актуальных данных киберразведки для блокировки взаимодействия с известными адресами злоумышленников. Борьба с угрозами смещается в плоскость оперативного обнаружения и реагирования, где понимание инструментов и инфраструктуры противника становится ключевым фактором успеха.
Индикаторы компрометации
