Еженедельное сканирование глобального интернета на предмет инфраструктуры злоумышленников выявило 80 активных командных центров в период с 8 по 14 июня 2026 года. Это результат целенаправленной охоты за серверами, которые хакеры используют для удалённого управления заражёнными устройствами. Подобные исследования критически важны для понимания текущих угроз и своевременного блокирования каналов связи атакующих.
Описание
Под командным центром понимается сервер, через который злоумышленник отдаёт команды вредоносному ПО. Обнаружение таких узлов позволяет выявить активные кампании и подготовиться к отражению атак. В отчёте за указанную неделю перечислены IP-адреса и типы используемых фреймворков - специализированных наборов инструментов для построения C2-инфраструктуры.
Самым популярным среди обнаруженных оказался Cobalt Strike - мощный инструмент для имитации атак, который часто применяется киберпреступниками для закрепления в сети и кражи данных. Его доля составила 22 сервера из 80. На втором месте расположился Sliver - современный опенсорсный фреймворк, набирающий популярность благодаря гибкости и кроссплатформенности. Он был найден на 21 IP-адресе. Третье место занял Mythic (14 серверов) - платформа с поддержкой множества агентов и возможностью шифрования трафика. Замыкают пятёрку Havoc (11 экземпляров), SuperShell (7) и Empire (5). Последние два фреймворка известны своей ориентацией на атаки через веб-интерфейсы и работу с PowerShell соответственно.
География размещения серверов оказалась очень широкой. Большая часть инфраструктуры была развёрнута в Китае (на IP-адресах провайдеров Alibaba, Tencent, China Unicom), США (Amazon, Oracle, DigitalOcean, HostPapa, Namecheap) и Сингапуре. Также отмечены узлы в Нидерландах, Маврикии, Франции, Германии, Гонконге, Латвии, Финляндии, Марокко и Люксембурге. Поставщиками облачных мощностей в основном выступают крупные дата-центры и хостинг-провайдеры, что усложняет блокировку целых подсетей.
Особого внимания заслуживает тот факт, что за одну неделю специалисты зафиксировали не только сами командные серверы, но и несколько работающих панелей управления стилерами - программами для кражи учётных данных. [Отчёт] включает перечень таких узлов: например, CookieGhost, StarGift Stealer версии 31, MTProto Key Stealer, Lucid Stealer и несколько вариантов 751 Stealer. Все они доступны по HTTP-адресам с портами 8080 или 5000 и представляют собой готовые веб-панели, что говорит о низком пороге входа для новых киберпреступников.
Наличие одновременно восьми различных панелей для кражи данных и cookies указывает на устойчивый спрос на такие инструменты в теневом секторе. Злоумышленники активно автоматизируют сбор паролей, сессионных токенов и банковских данных. При этом сами командные серверы C2 могут использоваться как для последующей продажи доступа, так и для развёртывания программ-вымогателей. Учитывая, что среди обнаруженных фреймворков есть как коммерческие (Cobalt Strike), так и бесплатные (Sliver, Mythic), можно говорить о диверсификации арсенала атакующих.
С точки зрения защиты предприятий и частных пользователей эта информация служит напоминанием о необходимости мониторить внешние соединения из корпоративной сети. Обнаружение обращений к перечисленным IP-адресам в логах прокси или межсетевого экрана почти наверняка означает компрометацию хотя бы одного рабочего места. Кроме того, регулярное обновление баз данных угроз и систем обнаружения вторжений, обучение персонала методам социальной инженерии остаются базовыми мерами, снижающими риск перехвата управления.
Текущая ситуация показывает, что инфраструктура командных серверов не только не сокращается, но и постоянно мигрирует между странами и провайдерами. Каждая новая неделя приносит десятки новых узлов, а атакующие продолжают совершенствовать инструменты, делая их менее заметными для традиционной сигнатурной защиты. Поэтому проактивный поиск C2 и анализ панелей стилеров становятся обязательной практикой для любого SOC (центра мониторинга безопасности), стремящегося опережать угрозы, а не реагировать на уже произошедшие инциденты.
Индикаторы компрометации
