Специалисты по информационной безопасности провели масштабное сканирование глобального интернета и выявили 64 активных командных сервера, которые злоумышленники используют для управления вредоносным программным обеспечением. Исследование охватило период с 18 по 24 мая 2026 года, а особое внимание уделялось инфраструктуре, потенциально угрожающей японским сетям. Полученные данные демонстрируют, как распределяются мощности атакующих по разным странам и провайдерам.
Описание
Речь идёт о так называемых C2-серверах (серверах управления и контроля) - центральных узлах, через которые хакеры отдают команды заражённым компьютерам. В ходе мониторинга аналитики отслеживали сразу семь популярных фреймворков для построения таких сетей. Среди них оказались как хорошо известный Cobalt Strike, так и более новые инструменты вроде Havoc, Sliver, Mythic, SuperShell, Empire и NimPlant. Большинство этих платформ используются для проведения целевых атак и поддержания скрытого доступа к скомпрометированным системам.
Лидером по количеству обнаруженных серверов стал именно Cobalt Strike, который применяется уже много лет и по-прежнему остаётся самым востребованным инструментом у киберпреступников. За неделю эксперты насчитали 19 таких узлов. Следом за ним идёт Havoc - сравнительно новый фреймворк с открытым исходным кодом, который набирает популярность среди хакеров. Его обнаружили 14 раз. Тройку замкнул Sliver - ещё одно решение с открытым исходным кодом, которое часто используют как альтернативу Cobalt Strike. Он встретился 11 раз. Mythic и SuperShell поделили четвёртое место, попавшись по 10 раз каждый.
География размещения серверов оказалась весьма широкой, хотя некоторые закономерности всё же прослеживаются. Китайские хостинговые компании, такие как дочерние структуры Alibaba и Tencent, стали источником значительного числа угроз. Например, 19 мая на инфраструктуре Alibaba в Гонконге обнаружили сервер SuperShell, а 20 мая сразу три узла Cobalt Strike работали через сети Tencent. Американские провайдеры тоже активно используются злоумышленниками. Компания RouterHosting LLC, зарегистрированная в США, обслуживала сразу несколько серверов Mythic и Havoc. Европейские хостеры, включая немецкую Hetzner и французскую Contabo, также попали в статистику.
Весьма примечательно, что часть серверов была развёрнута на облачных платформах крупных вендоров. Например, 22 мая на британском сегменте Amazon Web Services специалисты нашли один из узлов Cobalt Strike, а 24 мая на ресурсах Amazon в США работал сервер Havoc. Даже инфраструктура Microsoft не стала исключением. 21 мая в Гонконге был замечен сервер SuperShell, использующий мощности облака Microsoft. Это лишний раз доказывает, что злоумышленники активно арендуют легитимные облачные мощности, чтобы не выделяться на фоне обычного трафика. Аналитики в своём отчёте подчеркнули, что выявить такие серверы становится всё сложнее, ведь они маскируются под обычные бизнес-приложения.
Не обошлось и без экзотических локаций. Один из серверов Mythic был размещён на Маврикии через местного провайдера MauritiusTelecom. Ещё один узел Sliver обнаружили в Молдове. Тайский провайдер AIS Fibre, южнокорейская LG HelloVision и украинские хостинги также попали в список. Такое разнообразие географии указывает на то, что атакующие стараются распределять свои ресурсы по разным юрисдикциям, чтобы затруднить блокировку и расследование.
Особый интерес представляет тот факт, что три сервера были зафиксированы на территории России и Украины. Например, 23 мая в сети украинского провайдера Limited Liability Company best Solutions заработал узел Sliver. Двумя днями ранее во Франции через местного оператора связи развернули ещё один Sliver. А на следующий день в Австрии через netcup GmbH появился очередной сервер того же типа. Это говорит о том, что преступники не привязаны к одной стране и готовы использовать мощности в любой точке мира.
Помимо самих C2-серверов, специалисты также зафиксировали активность нескольких вредоносных программ-стилеров. Это особый тип вредоносного ПО, которое ворует учётные данные, пароли и файлы с заражённых машин. В ходе расследования были обнаружены панели управления для стилеров Ask Stealer, Sign Stealer и Signature Stealer. Каждый из них имеет свою собственную инфраструктуру для сбора и выгрузки похищенных данных. Например, один из стилеров располагался по адресу 144[.]31[.]221[.]55, а два других висели на портах 7979 и 4040 соответственно. Подобные стилеры часто используются в качестве первого этапа атаки, после чего полученные данные позволяют хакерам получить доступ к корпоративным сетям.
Текущая статистика показывает, что борьба с командной инфраструктурой злоумышленников остаётся сложной задачей. Серверы открываются, закрываются и меняют провайдеров в течение нескольких часов. Тем не менее, регулярный мониторинг даёт возможность оперативно выявлять новые угрозы и передавать данные для блокировки. Японским компаниям, как и бизнесу по всему миру, стоит обратить внимание на эту статистику и пересмотреть свои политики доступа к облачным сервисам. Особенно важно фильтровать трафик к узлам, расположенным в Китае и США, где сосредоточено наибольшее количество опасных серверов. Использование поведенческого анализа сетевого трафика и систем выявления аномалий может помочь вовремя распознать попытки подключения к таким командным центрам.
Индикаторы компрометации
