Специалисты выявили 78 серверов управления C2 по всему миру за неделю: доминирует Cobalt Strike

Для поиска эксперты использовали поисковую платформу Censys, которая позволяет находить устройства и службы, открытые в глобальной сети. Мониторинг охватил сразу несколько распространённых фреймворков: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire и NimPlant. Исследователи зафиксировали IP-адреса серверов, определили их провайдеров, страну размещения и тип C2. Полученные данные позволяют понять, где сейчас концентрируются атакующие и какие инструменты они предпочитают.

Лидером по числу обнаруженных серверов стал Cobalt Strike - 32 адреса из 78. Это коммерческое средство для тестирования на проникновение, но его постоянно адаптируют для вредоносных кампаний. На втором месте оказался Mythic (22 сервера) - более современный фреймворк с модульной архитектурой, который активно набирает популярность. Далее идёт Havoc (11 серверов), затем SuperShell (6), Sliver (5), а замыкают список NimPlant и Empire - по одному адресу. Такое распределение подтверждает тенденцию: старые, проверенные инструменты (Cobalt Strike) по-прежнему в ходу, но всё чаще встречаются новые разработки с расширенными возможностями.

География серверов оказалась весьма разнообразной. Значительная доля адресов зарегистрирована на китайские облачные платформы - Alibaba, Tencent, Huawei и Baidu. Это объясняется не столько злонамеренностью китайских компаний, сколько тем, что многие атакующие арендуют облачные ресурсы в Китае из-за низких цен и ослабленного контроля. Однако серверы расположены и в США, Нидерландах, Германии, Великобритании, Японии, Южной Корее, Франции, Ирландии, Турции и других странах. Например, несколько C2 найдены на инфраструктуре Amazon Web Services (AWS) в США, Сингапуре, Индии и Германии, а также на мощностях DigitalOcean и OVH. Это подчёркивает глобальный характер угрозы: злоумышленники не привязаны к одной юрисдикции и выбирают провайдеров, где можно быстро развернуть инфраструктуру и остаться незамеченным.

Чем опасны такие серверы? C2-инфраструктура служит связующим звеном между злоумышленником и захваченными устройствами. Через неё злоумышленники отправляют команды на кражу данных, шифрование файлов, запуск программ-вымогателей или шпионаж. Для компаний и организаций наличие C2 в своей сети или в облаке, которое они используют, означает реальный риск компрометации. Даже если сам сервер не принадлежит жертве, его обнаружение помогает защитникам блокировать исходящие соединения к этим адресам и своевременно выявлять заражение.

Дополнительную тревогу вызывает количество разных фреймворков - их разнообразие затрудняет создание универсальных сигнатур для систем обнаружения вторжений. Атакующие постоянно тестируют новые инструменты, чтобы обойти типовые защиты. Например, Mythic и Havoc активно используют шифрование трафика и маскируются под легитимные протоколы. Поэтому специалистам по безопасности приходится опираться на поведенческий анализ и репутационные списки, чтобы вовремя замечать подозрительные подключения.

Что делать на практике? Прежде всего, важно настроить мониторинг сетевого трафика на предмет соединений с известными C2-адресами. Регулярное обновление блок-листов на основе данных из открытых источников (таких как Censys, Shodan или Threat Intelligence) позволяет снизить риск. Также стоит ограничить исходящие подключения к непроверенным облачным провайдерам и усилить контроль за использованием теневых облачных ресурсов внутри компании. И конечно, не забывать о базовых принципах: своевременно закрывать уязвимости, сегментировать сети и использовать многофакторную аутентификацию.

Отчёт за неделю показывает, что ландшафт угроз остаётся крайне активным. Несмотря на десятилетия борьбы с ботнетами, злоумышленники продолжают массово разворачивать C2-серверы по всему миру. Только постоянный мониторинг и обмен информацией между защитниками позволяют вовремя выявлять и нейтрализовать такие инфраструктуры. Судя по собранным данным, атакующие не сбавляют оборотов, а значит, и безопасникам нельзя расслабляться.