С 17 по 23 августа 2026 года в открытом интернете обнаружено 125 серверов управления, которые используют злоумышленники для координации вредоносного ПО. Эти серверы называют C2-серверами. Они позволяют атакующим отдавать команды заражённым устройствам и получать с них похищенные данные. Командные центры являются неотъемлемой частью большинства киберопераций, от целевого фишинга до атак программами-вымогателями.
Описание
Мониторинг охватывал наиболее распространённые инструменты для построения такой инфраструктуры. Самую большую долю составил фреймворк Sliver - 64 сервера. Далее следуют Mythic (21), Cobalt Strike (16) и Havoc (10). Остальные находки приходятся на SuperShell, Empire и NimPlant, а также на серверы, где работало сразу несколько инструментов. Комбинированные установки встречаются в единичных случаях, но их наличие говорит о стремлении операторов повысить отказоустойчивость.
Данные собраны с помощью поисковой платформы Censys, которая регулярно сканирует открытые порты и службы по всему миру. Согласно исследованию Censys, большинство обнаруженных серверов размещены на арендуемых мощностях крупных облачных провайдеров. Это упрощает злоумышленникам маскировку следов и быструю смену адресов. При этом почти треть инфраструктуры сосредоточена в США, а заметные доли приходятся на Китай и Германию. Важно понимать, что речь идёт только о серверах, доступных для внешнего сканирования. Часть вредоносной инфраструктуры скрыта за прокси или находится в закрытых сетях.
География инфраструктуры широка и не ограничивается развитыми странами. Отдельные узлы отмечены на Маврикии, в Саудовской Аравии, Вьетнаме, Иране и других государствах. Такая распределённость затрудняет блокировку доменов и IP-адресов силами отдельного государства. Злоумышленники выбирают юрисдикции с мягким регулированием или быстрой выдачей серверов. Поэтому борьба с такими сетями требует международной координации.
Использование легитимных облачных сервисов для размещения командных центров - устойчивая тенденция, которую фиксируют и другие компании в сфере кибербезопасности. Злоумышленники регистрируют аккаунты на Amazon Web Services, DigitalOcean, Hetzner и аналогичных платформах, после чего разворачивают вредоносные панели. Иногда одна арендованная машина обслуживает сразу несколько фреймворков. Например, в выборке встречаются серверы Sliver и Mythic, работающие одновременно.
Подобная инфраструктура применяется для атак на компании и государственные учреждения. Через C2-серверы операторы могут загружать дополнительные модули, похищать документы, разворачивать программы-вымогатели и перемещаться по внутренней сети. Своевременное обнаружение таких узлов позволяет специалистам по защите блокировать их до начала масштабного инцидента. Именно поэтому открытые отчёты с данными о вредоносной инфраструктуре ценятся сообществом.
Для противодействия угрозе организациям рекомендуется регулярно проверять внешние сетевые соединения на подозрительную активность. Важно отслеживать обращения к недавно зарегистрированным доменам и необычные исходящие трафики. Внедрение систем раннего предупреждения на основе данных об угрозах (threat intelligence) помогает выявлять C2-адреса на ранней стадии. Также стоит использовать списки известных вредоносных узлов в межсетевых экранах и прокси-серверах.
Публикация подобных отчётов поддерживает работу глобального сообщества безопасности. Доступность актуальных данных о расположении командных серверов позволяет провайдерам и CERT-командам (группам реагирования на инциденты) быстрее реагировать на злоупотребления. Чем больше организаций используют открытые данные, тем ниже вероятность длительного существования вредоносной инфраструктуры. Координация усилий особенно важна в условиях высокой динамики изменений.
В целом, недельная выборка показывает, что число активных C2-узлов остаётся стабильно высоким. Наблюдается рост популярности относительно новых фреймворков, таких как Sliver, который постепенно вытесняет коммерческие инструменты. Это частично связано с открытым исходным кодом Sliver и его доступностью для широкого круга операторов. Кроме того, Sliver активно развивается и предлагает множество возможностей для обхода защитных механизмов.
Специалистам по безопасности важно учитывать эти сдвиги при построении защитных стратегий. Регулярный мониторинг внешнего периметра и анализ сетевого трафика остаются ключевыми мерами. Компании также могут использовать сведения о типовых местах размещения вредоносных серверов. Эти данные помогают настраивать межсетевые экраны и системы обнаружения вторжений. Дополнительную ценность представляют сведения о том, как операторы комбинируют различные фреймворки.
Исследование Censys охватило период с 17 по 23 августа, однако авторы подчёркивают, что наблюдение ведётся непрерывно. Итоговый отчёт предоставляет сообществу информацию о текущем ландшафте угроз. Предполагается, что подобные срезы будут публиковаться на регулярной основе. Это позволит аналитикам отслеживать изменения в тактиках злоумышленников и своевременно корректировать защитные меры.
Индикаторы компрометации
