За период с 19 по 25 октября 2026 года в открытом интернете обнаружили 169 серверов управления (C2). Наблюдение охватывало инфраструктуру платформ, которые применяют для удалённого управления скомпрометированными системами: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire и NimPlant. Поиск опирался на проиндексированные ответы сетевых служб, доступных извне. Найденные серверы размещены на арендованных мощностях у облачных и хостинговых провайдеров в разных странах. Сведений о том, какие кампании обслуживают эти адреса, в материале нет.
Описание
Распределение по платформам в сводке неодинаково. По данным Censys, к Cairn отнесли 48 адресов, к Sliver - 45, к ARTEX in Japan - 40, к Mythic - 16, к Havoc - 9 и к SuperShell - 4. Ещё три адреса связали с iOS Exploit c2, а несколько записей описывают сочетание двух платформ, в том числе ARTEX in Japan вместе с Cobalt Strike. Empire и NimPlant, входившие в список наблюдения, в перечне найденного не встречаются, а отдельной записи для Cobalt Strike в сводке нет. Что означает метка iOS Exploit c2, в материале не поясняется.
Где размещены найденные серверы
В таблице фигурируют операторы Contabo, DigitalOcean, Tencent, Alibaba, Oracle, Amazon, Vultr, OVH, Hetzner и Leaseweb, а также ряд более мелких хостинговых компаний. Страны размещения включают США, Германию, Китай, Сингапур, Японию, Нидерланды, Объединённые Арабские Эмираты, Саудовскую Аравию и другие. Часть адресов принадлежит сетям, зарегистрированным в одном регионе, тогда как сам сервер находится в другом. Один адрес иногда относят сразу к двум платформам, поэтому однозначная привязка к одной из них не всегда возможна.
Подтверждено, что перечисленные адреса на момент проверки отвечали признакам панелей управления. Такие признаки определяют по отпечаткам служб в ответах на сетевые запросы. Не установлено, связаны ли найденные серверы между собой и относятся ли они к одной кампании. Не установлено и то, применяли ли их против реальных целей или держали в резерве. Проверка шла по внешним ответам служб, а не по журналам платформ, поэтому ни внутренние данные серверов, ни сведения об арендаторе в материале не раскрываются.
Отпечатки дают и ложные срабатывания. Стенды для проверки защищённости, исследовательские лаборатории и приманки для атакующих выглядят при сканировании так же, как рабочие серверы управления. Поэтому часть найденных адресов может не относиться к атакующей инфраструктуре. Единичный ответ службы не показывает, кто распоряжается сервером и какие задачи перед ним ставят. За пределами наблюдения остались телеметрия о заражениях, сведения о пострадавших и данные о том, какие операции велись с этих серверов.
Отдельным блоком в материале идут публикации о панелях входа программ удалённого доступа Dumplings и ARJUN, а также похитителя учётных данных natalism stealer. Эти записи появились в социальной сети 19 и 20 октября 2026 года и не входят в подсчёт серверов управления. Связь названных панелей с описанной инфраструктурой не установлена. Данных о том, как долго эти панели оставались доступны, в записях нет.
Наблюдение даёт снимок того, что видно снаружи: адреса, отпечатки служб и принадлежность к платформам. Ответа на вопрос, сколько из этих серверов применяли против конкретных организаций, в нём нет. Как долго они оставались доступны и менялся ли их состав за неделю, тоже не показано. Недельное окно описывает состояние на момент проверки, а не устойчивую картину распространения. Не исключено, что к моменту публикации часть адресов уже сменила назначение.
Индикаторы компрометации
