С 14 по 20 сентября 2026 года в интернете оставались открытыми 91 командно-контрольный сервер, или C2-сервер. Такие узлы нужны, чтобы отдавать команды уже заражённым компьютерам: загружать новый вредоносный код, копировать документы, включать шифрование файлов и требовать выкуп. Доступность этой инфраструктуры означает, что компании, госорганы и обычные пользователи могут заранее увидеть, откуда готовятся атаки.
Описание
Открытость серверов даёт службам безопасности шанс заблокировать их до того, как они принесут ущерб. При этом 91 адрес - только видимая часть картины. Узлы, спрятанные во внутренних сетях или работающие через скрытые каналы, в обзор не попали.
Больше всего узлов пришлось на Sliver - 31 сервер. Следом идёт Mythic с 24 адресами и Cobalt Strike с 17. Ещё 12 серверов работали на Havoc, три - на Empire, два - на SuperShell, один - на Chaos. Один узел одновременно обслуживал Sliver и Cobalt Strike. Часть платформ из списка наблюдения, включая NimPlant, за отчётную неделю не встретилась вовсе.
По географии разброс получился широким. По данным Censys, чьи сканеры фиксируют доступные из сети службы, узлы распределились по США, Гонконгу, Китаю, Германии, Сингапуру, Литве, Турции, Ирану, Саудовской Аравии и Мексике. Владельцы выбирали и крупные облачные площадки, и сети национальных операторов связи.
Cobalt Strike изначально разрабатывали для тестирования на проникновение, то есть для легальной проверки, насколько просто посторонний человек попадёт в сеть компании. Коммерческая лицензия стоит тысячи долларов, поэтому в реальных атаках чаще встречаются бесплатные аналоги. Свободные платформы дают почти те же возможности: управление заражёнными машинами, сбор данных, подключение новых модулей. Порог входа снизился до уровня человека с базовыми навыками.
Среди площадок, где нашли управляющие серверы, - Amazon, Microsoft, Google, Oracle, Alibaba, Tencent, DigitalOcean, OVH, Contabo, Hostinger и Akamai. Пять серверов Mythic одновременно относились к болгарскому оператору, три - к маврикийскому. Совпадение адресов у одного владельца указывает на общую кампанию: злоумышленники разворачивают несколько узлов для подстраховки.
Аренда виртуальной машины занимает минуты, стоит несколько долларов и почти не требует подтверждения личности. Провайдеры проверяют клиентов формально, а на жалобы реагируют уже после появления вредоносной активности. Средний срок жизни управляющего сервера редко превышает несколько недель. Как только адрес попадает в чёрные списки, владельцы переносят его на новую площадку.
Вокруг этих инструментов сложился отдельный рынок услуг. Одни группы продают доступ к чужим сетям, другие берут на себя развёртывание инфраструктуры, третьи сдают в аренду готовые программы-вымогатели. Заказчику остаётся указать цель и получить долю от выкупа. Один управляющий сервер способен держать под контролем тысячи машин - от бухгалтерских компьютеров до промышленных контроллеров.
Ущерб редко ограничивается одной компанией. Утечка клиентских данных оборачивается штрафами и потерей репутации, остановка производства - срывом поставок, шифрование файлов - простоем на дни и недели. Восстановление из резервных копий отнимает время, которого при атаке программ-вымогателей почти не остаётся.
Сама по себе открытость серверов упрощает обнаружение. Список известных узлов полезен службам безопасности: адреса можно закрыть на границе сети и следить за попытками соединения с ними. Отдельного внимания требуют филиалы и удалённые сотрудники, чьи устройства подключаются к корпоративным ресурсам напрямую. Именно там заражение заметят позже всего.
Базовые меры защиты остаются прежними. Обновляйте операционные системы и прикладное ПО, не откладывая установку исправлений. Включайте двухфакторную аутентификацию (вход по паролю и одноразовому коду) для административных учётных записей. Ограничивайте исходящие соединения сотрудников только нужными сервисами. Храните резервные копии отдельно от основной сети и регулярно проверяйте, что они восстанавливаются.
Доля бесплатных платформ в общей массе растёт: Sliver, Mythic и Havoc не требуют лицензии и настраиваются за вечер. Инфраструктура всё чаще живёт в легальных облаках, и блокировка отдельных провайдеров проблему не решает. Она лишь заставляет переносить узлы на новые адреса, а защитников - снова искать их в потоке сетевых событий.
Индикаторы компрометации
IPv4
- 102.117.165.202
- 102.117.167.205
- 102.117.168.208
- 104.164.46.36
- 104.253.79.117
- 109.205.212.241
- 109.236.50.145
- 117.72.202.154
- 118.195.163.227
- 122.10.115.27
- 123.60.142.164
- 124.223.177.82
- 129.226.150.240
- 134.122.202.217
- 136.110.51.183
- 141.148.194.147
- 149.30.232.29
- 15.204.66.40
- 151.243.126.22
- 154.219.101.56
- 154.36.161.180
- 156.239.224.131
- 158.94.210.131
- 161.153.76.241
- 165.154.6.188
- 165.227.32.223
- 167.179.67.162
- 175.43.223.203
- 177.136.225.160
- 178.128.21.54
- 179.199.143.63
- 179.199.198.208
- 182.255.45.195
- 188.166.254.199
- 189.141.53.203
- 192.155.92.211
- 193.111.77.180
- 2.27.204.21
- 2.56.97.65
- 20.127.244.233
- 207.89.17.5
- 209.38.100.69
- 213.218.160.174
- 217.216.34.133
- 3.110.54.253
- 3.15.142.151
- 3.238.205.11
- 35.212.136.13
- 36.248.232.184
- 37.60.241.141
- 38.242.151.91
- 38.242.209.29
- 38.54.13.48
- 4.154.203.165
- 40.90.235.75
- 42.193.227.214
- 43.130.127.89
- 43.136.93.107
- 43.138.116.60
- 43.140.219.30
- 43.156.184.213
- 43.157.204.73
- 45.154.98.226
- 45.86.64.228
- 47.238.116.190
- 47.81.57.227
- 47.84.125.171
- 47.93.159.68
- 5.163.239.119
- 51.195.41.45
- 52.172.94.66
- 52.175.50.182
- 57.154.15.252
- 76.13.165.226
- 8.163.59.20
- 8.163.98.217
- 83.52.241.18
- 83.97.20.211
- 84.247.144.50
- 85.137.252.195
- 89.116.191.107
- 92.5.166.15
- 95.158.131.135
- 95.158.131.139
- 95.158.131.141
- 95.158.131.142
- 95.158.131.144
- 95.158.131.147
- 95.158.131.149
- 95.158.131.151
- 95.38.176.143
