С 31 августа по 6 сентября 2026 года в доступной части интернета обнаружено 59 командных серверов, используемых злоумышленниками. Эти машины играют роль промежуточного звена между киберпреступником и уже заражённым устройством: они принимают указания атакующего, пересылают их вредоносной программе и получают от неё похищенные данные. Именно по таким серверам специалисты обычно оценивают масштаб хакерских операций и отслеживают их активность.
Описание
Командный сервер, или C2-сервер, по сути представляет собой центр дистанционного управления ботнетом. Архитектура атаки строится так, чтобы заражённый компьютер самостоятельно устанавливал связь с этим центром, поэтому отсутствие прямого контакта между жертвой и злоумышленником делает почти невозможным быстрое выявление источника угрозы. Исследование, проведённое с помощью поисковой системы Censys, анализировало открытые данные сетевой инфраструктуры по всему миру. В выборку попали адреса, которые вели себя как командные серверы для семи популярных инструментов удалённого управления, применяемых в том числе в кибератаках.
Среди таких инструментов оказались Cobalt Strike, Sliver, Mythic, Havoc, Empire, SuperShell и NimPlant. Распределение найденных серверов показало заметный сдвиг в сторону открытых платформ. Наибольшее количество - 21 адрес - использовало Sliver, фреймворк с доступным исходным кодом. Mythic занял второе место с 16 серверами. Далее расположились Cobalt Strike с восемью адресами, Havoc с семью, Empire с пятью и SuperShell с двумя. NimPlant за отчётный период не встретился ни разу.
Показательно, что коммерческий Cobalt Strike уступает по частоте обнаружения бесплатным аналогам. Такая динамика наблюдается уже не первый год: злоумышленники охотно переходят на инструменты с меньшей стоимостью входа и активным сообществом разработчиков. Одновременно открытый исходный код позволяет быстро адаптировать их под конкретную задачу и менять поведение после каждой волны обнаружений. Эти обстоятельства усложняют работу антивирусных продуктов, которые часто ориентируются на сигнатуры известных вредоносных программ.
С точки зрения размещения подпольной инфраструктуры также произошли изменения. Большинство C2-серверов из выборки находилось не в теневых дата-центрах, а на мощностях обычных облачных провайдеров, включая DigitalOcean, Linode и Amazon Web Services. Использование легитимных хостингов и облачных платформ помогает атакующим оставаться незамеченными: их адреса нередко выглядят так же, как и адреса обычных клиентов, что затрудняет фильтрацию по IP-диапазонам.
География размещения оказалась широкой и охватила более двадцати стран. Часть серверов приписана к сетям американских и европейских операторов, другие находятся в Сингапуре, Гонконге, Маврикии и Китае. Такое распределение типично для аренды виртуальных серверов, когда фактическое местонахождение оборудования не совпадает с заявленным. Для ликвидации вредоносной инфраструктуры правоохранительным органам приходится взаимодействовать с множеством юрисдикций, что замедляет реагирование.
Для компаний каждая подобная находка означает потенциальную опасность. Если устройство внутри корпоративной сети подключилось к C2-серверу, злоумышленник может просматривать файлы, собирать учётные данные, а затем передвигаться по сети в поисках более ценных систем. Финальным этапом часто становится запуск программы-вымогателя, которая шифрует данные и бизнес-критичные приложения. В такой ситуации простой производства и восстановление систем обходятся значительно дороже, чем своевременное устранение заражения на ранней стадии.
Базовые меры защиты остаются неизменными. Необходимо регулярно обновлять операционные системы и стороннее программное обеспечение, ограничивать права пользователей и следить за тем, чтобы сетевой трафик не содержал подозрительных подключений к незнакомым адресам. Полезно использовать многофакторную аутентификацию и изолировать резервные копии, чтобы атака не затронула все точки восстановления.
Обнаруженные 59 серверов отражают лишь часть глобальной картины. Многие C2-инфраструктуры скрыты за прокси-сетями или меняют адреса слишком быстро для автоматического поиска. Тем не менее регулярный мониторинг открытых данных помогает выявлять смену предпочтений атакующих. Переход на открытые фреймворки снижает порог входа в киберпреступность и позволяет мелким группам использовать инструменты, ранее доступные только организованным группировкам, - а это значит, что число потенциальных целей продолжает расти.
Индикаторы компрометации
