За неделю обнаружено 62 сервера управления вредоносными сетями

Мониторинг охватывал наиболее популярные фреймворки, применяемые для построения каналов управления: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant и другие. Названия этих инструментов хорошо известны специалистам по информационной безопасности. Для обычного пользователя важно понимать, что C2-сервер выступает мозговым центром вредоносной операции: именно с него поступают команды на похищение данных, шифрование файлов или скрытую установку дополнительного кода.

Распределение обнаруженных серверов по типам показывает, что наибольшей популярностью у атакующих пользуется фреймворк Mythic - на его долю пришлось 18 обнаруженных адресов. Следом идёт Sliver с 13 серверами, затем Cobalt Strike - 11, SuperShell - 9, Havoc - 7 и Empire - 4. Суммарно эти шесть инструментов закрывают все 62 выявленные позиции. Как отмечается в исследовании Censys, такая структура указывает на разнообразие предпочтений злоумышленников и одновременное использование нескольких платформ в разных кампаниях.

География размещения инфраструктуры оказалась широкой и не привязанной к одной юрисдикции. Значительная часть серверов зарегистрирована в Китае - на площадках Tencent, Alibaba и China Telecom. Много адресов использует инфраструктуру американских облачных провайдеров: DigitalOcean, Vultr, Amazon Web Services, Oracle Cloud, а также европейских хостингов, например немецких Contabo и netcup. Отдельные серверы размещены в Сингапуре, Гонконге, Японии, Маврикии, Объединённых Арабских Эмиратах и на Британских Виргинских островах.

Подобная разбросанность не случайна. Злоумышленники предпочитают арендовать мощности у легитимных коммерческих операторов, а не создавать собственные дата-центры. Это позволяет быстро разворачивать новые узлы, скрывать реальное местоположение и усложнять блокировку по доменным или IP-признакам. Кроме того, облачные службы обычно не требуют много документов для регистрации, а оплата через криптовалюты или подставные компании делает отслеживание владельца крайне затруднительным.

Для понимания масштаба угрозы полезно знать, как работает C2-инфраструктура. В типичной схеме жертва получает вредоносный файл через фишинговое письмо, заражённый сайт или флеш-накопитель. После запуска на устройстве устанавливается агент, который периодически связывается с внешним сервером. Злоумышленник через этот канал отправляет команды: например, начать сбор паролей, сделать снимки экрана или распространиться на соседние компьютеры внутри сети. Обнаружение таких узлов помогает организациям вовремя заметить атаку и разорвать цепочку управления до того, как будут похищены критичные данные.

Особую тревогу вызывает использование Cobalt Strike - этот инструмент изначально создавался как легитимный продукт для тестирования безопасности, но давно стал стандартом в арсенале киберпреступников. Аналогично обстоят дела с Mythic и Sliver, которые предоставляют широкие возможности для сокрытия трафика и маскировки под обычные интернет-запросы. SuperShell и Havoc менее известны, однако также активно применяются в целевых атаках, в том числе против государственных и промышленных организаций.

Отдельного внимания заслуживает тот факт, что в списке фигурируют адреса, принадлежащие крупным облачным платформам. Злоумышленники всё чаще используют легальные сервисы, чтобы выглядеть респектабельно. Поскольку такие сети редко попадают в чёрные списки целиком, вредоносные узлы могут работать неделями. Компании, предоставляющие облачные мощности, обычно быстро реагируют на жалобы и отключают подозрительные аккаунты, однако злоумышленники тут же переносят инфраструктуру на новые адреса.

Для бизнеса и государственных структур это означает, что одна лишь фильтрация по спискам блокировок недостаточна. Необходимы решения, способные анализировать поведение сетевых соединений и выявлять аномалии - например, регулярные запросы с рабочих станций к серверам, никогда ранее не использовавшимся в организации. Также эффективна сегментация сети, ограничивающая возможность бокового перемещения атакующих внутри периметра.

Провайдерам облачных услуг стоит усилить проверку клиентов и внедрить автоматические механизмы, отслеживающие признаки вредоносной активности. Такие меры, как сканирование открытых портов, анализ сертификатов и сопоставление сигнатур известных C2-фреймворков, помогают выявлять проблемные арендаторы до того, как их инфраструктура будет использована в крупной атаке.

Регулярный мониторинг глобального интернет-пространства, выполняемый сервисами вроде Censys, даёт уникальную возможность увидеть картину целиком. Публикация данных о распределении C2-серверов позволяет исследователям отслеживать новые тенденции, а администраторам - проверять свои сети на соответствие выявленным индикаторам. Правда, использовать эти сведения нужно осторожно: открытые списки быстро устаревают, поэтому основным инструментом защиты всё же остаются компетентные аналитики и правильно настроенные системы обнаружения вторжений.

В сложившихся условиях каждой организации важно иметь хотя бы минимальный план реагирования на инциденты. В него должны входить процедуры изоляции заражённых узлов, смена ключей доступа и уведомление профильных регуляторов. Чем быстрее команда реагирования сможет разорвать связь между компьютером сотрудника и C2-сервером, тем меньше данных успеет утечь за пределы периметра. Подход, основанный на постоянном наблюдении и сотрудничестве между компаниями и исследовательскими проектами, сегодня становится необходимым условием устойчивости к киберугрозам.