За неделю в открытом интернете обнаружили 66 командно-контрольных серверов

Перечень собран по итогам поиска в открытых сетевых сканерах, который провела компания Censys. Сканирование охватывает адреса, доступные из любой точки интернета. Тип инструмента определяют по характерным ответам сервера на служебные запросы. Часть узлов настроена небрежно, и их видно снаружи целиком. Другую часть выдают косвенные признаки: одинаковые ответы на подключение, повторяющиеся настройки, похожая манера держать соединение. Обычно такой сервер ставит один человек наспех, чтобы провести несколько операций, и забывает закрыть доступ.

Почти все узлы стоят на арендованных серверах в облаках и у провайдеров виртуальных машин. Шесть серверов размещены в инфраструктуре DigitalOcean, десять - в сетях Amazon, по два - у Alibaba, Tencent и OVH. Единичные находки приходятся на Google Cloud, Oracle, Akamai (ранее Linode), Scaleway, Contabo, Vultr, Namecheap, HostPapa и AdminVPS. Аренда занимает минуты, оплата проходит картой или криптовалютой. Поэтому инфраструктуру собирают под конкретную задачу и быстро бросают, а не берегут годами. Регистрация провайдера и физическое расположение машины при этом часто не совпадают: сеть числится за одной страной, а стойка стоит в другой.

По странам размещения лидируют США: там стоят около половины узлов. Заметные доли приходятся на Сингапур, Германию, Китай и Францию. Отдельные адреса нашлись в Иране, России, Объединённых Арабских Эмиратах, Саудовской Аравии, Пакистане, Эстонии, Польше, Чехии, Молдове, Румынии, Гонконге и на Маврикии. Страна хостинга не указывает на гражданство владельца: площадку выбирают по цене и по близости к цели. При этом четыре сервера Mythic квартировали в сети маврикийского оператора Mauritius Telecom и появлялись почти ежедневно. Похоже на одну группу, которая держит запас узлов на будущее.

Инструмент Cobalt Strike, который годами остаётся рабочим стандартом для коммерческих группировок, в этот раз не попал в перечень ни разу, хотя входит в список наблюдения. Заметная часть злоумышленников перешла на бесплатные платформы с открытым исходным кодом. Sliver и Mythic дешевле, быстрее разворачиваются и реже опознаются по подписи. Поднять такой сервер может любой, кто умеет читать документацию. Единственный сервер Evilginx интересен сам по себе. Этот инструмент не управляет чужой машиной, а подменяет страницу входа и перехватывает данные активной сессии, чтобы войти в аккаунт без пароля.

Списки адресов полезны защите: по ним ищут обращения в журналах и блокируют трафик на периметре. Однако держится такой список недолго, ведь серверы меняются каждую неделю. Надёжнее искать повторяющийся рисунок связи: обращения к внешнему узлу по расписанию, передачу файлов необычного вида, резкие всплески исходящего трафика с рабочих станций. Эти признаки заметны и без точного адреса. Крупным компаниям полезен и обратный поиск: стоит проверять, не выставлен ли собственный сервер управления наружу по ошибке администратора.