2026-10-18

Weekly Threat Infrastructure Investigation(Week42)

Hunting for enemy infrastructure in Japan

概要 / Overview

本調査では、Censysの検索機能を用いて、全世界のインターネット上に展開されているC2（Command and Control）インフラストラクチャを網羅的に調査・分析しました。

調査期間（2026年10月12日〜10月18日）において、グローバルで合計66件のC2サーバーを特定しました。本調査では、Cobalt Strike をはじめ、SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant といった多岐にわたるC2フレームワークを監視対象としており、攻撃者が利用するインフラの最新の分布状況を可視化しています。

In this report, we utilized Censys's advanced search capabilities to conduct a comprehensive analysis of Command and Control (C2) infrastructure exposed across the global internet.

During the reporting period (Octobert 12 – Octobert 18, 2026), we identified a total of 66 C2 servers deployed worldwide. Our monitoring scope encompasses a diverse array of frameworks—including Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, and NimPlant—providing visibility into the current distribution of adversary infrastructure on a global scale.

サマリ / Summary

調査期間 / Period: 2026/10/12 – 2026/10/18
総検出件数 / Total Detections: 66 IPs
監視対象フレームワーク / Tracked Frameworks: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, etc.

C2種別内訳 / Type of C2 Servers Found

C2	Count
sliver	32
Mythic	17
Havoc	11
Empire	2
SuperShell	2
Phishing evilginx	1
NimPlant	1

詳細データ / Aggregate Data

No	Date	IP	Autonomous System Number	Autonomous System Label	Country	C2
1	2026/10/12	162[.]254[.]37[.]211	22612	NAMECHEAP-NET - Namecheap, Inc., US	US	Mythic
2	2026/10/12	45[.]142[.]31[.]82	215540	GCS-AS - GLOBAL CONNECTIVITY SOLUTIONS LLP, GB	SC	sliver
3	2026/10/12	45[.]207[.]219[.]181	401696	COGNETCLOUD - cognetcloud INC, US	SC	sliver
4	2026/10/12	8[.]145[.]41[.]135	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	SG	sliver
5	2026/10/12	5[.]230[.]57[.]71	12586	ASGHOSTNET - GHOSTnet GmbH, DE	DE	Phishing evilginx
6	2026/10/13	102[.]117[.]171[.]171	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
7	2026/10/13	3[.]127[.]230[.]153	16509	AMAZON-02 - Amazon.com, Inc., US	US	Mythic
8	2026/10/13	103[.]115[.]49[.]124	55933	CLOUDIE-AS-AP - Cloudie Limited, HK	CN	sliver
9	2026/10/13	165[.]154[.]230[.]60	142002	SCLOUDPTELTD-AS - Scloud Pte Ltd, SG	SG	sliver
10	2026/10/13	168[.]138[.]207[.]32	31898	ORACLE-BMC-31898 - Oracle Corporation, US	US	sliver
11	2026/10/13	172[.]233[.]146[.]222	63949	AKAMAI-LINODE-AP - Akamai Connected Cloud, SG	US	sliver
12	2026/10/13	176[.]65[.]148[.]54	51396	PFCLOUD - Pfcloud UG (haftungsbeschrankt), DE	DE	sliver
13	2026/10/13	188[.]166[.]160[.]97	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
14	2026/10/13	23[.]238[.]117[.]41	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
15	2026/10/13	49[.]51[.]199[.]234	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	CN	sliver
16	2026/10/13	3[.]81[.]47[.]132	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
17	2026/10/13	44[.]197[.]193[.]165	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
18	2026/10/14	155[.]117[.]98[.]31	153656	HKISP-AS-AP - OWGELS INTERNATIONAL CO., LIMITED, HK	US	Mythic
19	2026/10/14	155[.]117[.]98[.]64	153656	HKISP-AS-AP - OWGELS INTERNATIONAL CO., LIMITED, HK	US	Mythic
20	2026/10/14	36[.]248[.]232[.]167	4837	CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN	CN	Mythic
21	2026/10/14	78[.]232[.]49[.]198	12876	AS12876 - Scaleway SAS, FR	FR	Mythic
22	2026/10/14	104[.]131[.]164[.]51	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
23	2026/10/14	115[.]190[.]227[.]197	137718	VOLCANO-ENGINE - Beijing Volcano Engine Technology Co., Ltd., CN	CN	sliver
24	2026/10/14	151[.]243[.]24[.]56	210554	METEORCLOUD - Meteor Cloud LTDA, BR	AE	sliver
25	2026/10/14	154[.]222[.]19[.]90	401701	COGNETCLOUD-2 - cognetcloud INC, US	SC	sliver
26	2026/10/14	165[.]232[.]82[.]194	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
27	2026/10/14	208[.]123[.]119[.]198	395092	SHOCK-1 - Shock Hosting LLC, US	US	sliver
28	2026/10/14	45[.]94[.]31[.]42	210558	services-1337-gmbh - 1337 Services GmbH, DE	NL	sliver
29	2026/10/14	46[.]38[.]138[.]50	204104	GSC - Giti Secure Cloud LLC, IR	IR	sliver
30	2026/10/14	100[.]31[.]201[.]74	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
31	2026/10/14	100[.]53[.]215[.]212	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
32	2026/10/15	194[.]113[.]75[.]226	25697	UPCLOUDUSA - UpCloud USA Inc, US	FI	SuperShell
33	2026/10/15	102[.]117[.]167[.]174	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
34	2026/10/15	13[.]48[.]253[.]1	16509	AMAZON-02 - Amazon.com, Inc., US	US	Mythic
35	2026/10/15	194[.]182[.]79[.]216	24806	INTERNET-CZ - INTERNET CZ, a.s., CZ	IT	Mythic
36	2026/10/15	2[.]152[.]86[.]4	218482	PSYCHOVPS - PSYCHOVPS LTD, GB	PL	Mythic
37	2026/10/15	124[.]220[.]200[.]189	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver
38	2026/10/15	45[.]9[.]149[.]180	49447	NICEIT - Nice IT Services Group Inc., DM	DM	sliver
39	2026/10/15	68[.]183[.]144[.]101	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
40	2026/10/15	165[.]227[.]201[.]98	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Havoc
41	2026/10/15	23[.]254[.]149[.]27	36352	AS-COLOCROSSING - HostPapa, US	US	Havoc
42	2026/10/15	43[.]228[.]157[.]121	403005	BLATANTHOST - Blatant, SC	PK	Havoc
43	2026/10/15	45[.]86[.]230[.]206	62240	Clouvider - Clouvider Limited, GB	EE	Havoc
44	2026/10/15	94[.]49[.]29[.]166	25019	SAUDINETSTC-AS - Saudi Telecom Company JSC, SA	SA	Havoc
45	2026/10/16	165[.]154[.]244[.]212	142002	SCLOUDPTELTD-AS - Scloud Pte Ltd, SG	SG	SuperShell
46	2026/10/16	102[.]117[.]172[.]235	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
47	2026/10/16	217[.]182[.]168[.]142	16276	OVH - OVH SAS, FR	FR	Mythic
48	2026/10/16	169[.]58[.]53[.]135	51167	CONTABO - Contabo GmbH, DE	DE	sliver
49	2026/10/16	182[.]255[.]46[.]81	6134	XNNET - XNNET LLC, US	HK	sliver
50	2026/10/16	45[.]207[.]219[.]46	401696	COGNETCLOUD - cognetcloud INC, US	SC	sliver
51	2026/10/16	80[.]78[.]22[.]149	39287	materialism - Materialism s.r.l., RO	RO	sliver
52	2026/10/16	3[.]89[.]57[.]238	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
53	2026/10/16	155[.]138[.]213[.]189	20473	AS-VULTR - The Constant Company, LLC, US	US	Empire
54	2026/10/16	157[.]22[.]174[.]205	211183	AdminVPS - AdminVPS OOO, RU	RU	Empire
55	2026/10/17	102[.]117[.]161[.]162	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
56	2026/10/17	15[.]207[.]73[.]20	16509	AMAZON-02 - Amazon.com, Inc., US	US	Mythic
57	2026/10/17	34[.]187[.]60[.]230	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	Mythic
58	2026/10/17	63[.]186[.]47[.]151	16509	AMAZON-02 - Amazon.com, Inc., US	US	Mythic
59	2026/10/17	120[.]26[.]248[.]222	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	sliver
60	2026/10/17	148[.]113[.]174[.]77	16276	OVH - OVH SAS, FR	CA	sliver
61	2026/10/17	178[.]62[.]55[.]33	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
62	2026/10/17	185[.]193[.]126[.]216	39287	materialism - Materialism s.r.l., RO	RO	sliver
63	2026/10/17	216[.]107[.]136[.]85	396356	LATITUDE-SH - Latitude.sh, US	US	sliver
64	2026/10/17	2[.]27[.]248[.]209	207043	DEDIK-IO - DEDIK SERVICES LIMITED, GB	US	sliver
65	2026/10/17	46[.]8[.]113[.]32	215305	retzor-as - Mastersoft S.R.L., MD	CZ	NimPlant
66	2026/10/17	3[.]84[.]109[.]18	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc

This week's threat analysis

No.1 skeet infostealer

skeet infostealer
185[.]230[.]162[.]2https://t.co/74DDkvq3g9 #CTI #stealer pic.twitter.com/3AHt18TLDW
— DiscoNinja (@momomopas) 2026年10月15日

No.2 PHANTOM Stealer panel

PHANTOM Stealer panel
107[.]189[.]21[.]25#CTI #Stealer pic.twitter.com/Xa5xL4zrpw
— DiscoNinja (@momomopas) 2026年10月17日

No.3 Tripaul C2 Panel

Tripaul C2 Panel
31[.]56[.]19[.]150#CTI #C2 pic.twitter.com/i63Z4w89KH
— DiscoNinja (@momomopas) 2026年10月17日

Special Thanks

この調査はCensys社のResearch Accessによって実施されました。
ご支援に深く感謝いたします。

docs.censys.com

2026-10-11

Weekly Threat Infrastructure Investigation(Week41)

Hunting for enemy infrastructure in Japan

概要 / Overview

調査期間（2026年10月5日〜10月11日）において、グローバルで合計37件のC2サーバーを特定しました。本調査では、Cobalt Strike をはじめ、SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant といった多岐にわたるC2フレームワークを監視対象としており、攻撃者が利用するインフラの最新の分布状況を可視化しています。

In this report, we utilized Censys's advanced search capabilities to conduct a comprehensive analysis of Command and Control (C2) infrastructure exposed across the global internet.

During the reporting period (Octobert 5 – Octobert 11, 2026), we identified a total of 37 C2 servers deployed worldwide. Our monitoring scope encompasses a diverse array of frameworks—including Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, and NimPlant—providing visibility into the current distribution of adversary infrastructure on a global scale.

サマリ / Summary

調査期間 / Period: 2026/10/5 – 2026/10/11
総検出件数 / Total Detections: 37 IPs
監視対象フレームワーク / Tracked Frameworks: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, etc.

C2種別内訳 / Type of C2 Servers Found

C2	Count
Mythic	17
Havoc	11
sliver	5
Phishing evilginx	2
Empire	1
NimPlant	1

詳細データ / Aggregate Data

No	Date	IP	Autonomous System Number	Autonomous System Label	Country	C2
1	2026/10/5	189[.]141[.]46[.]66	8151	AS8151 - UNINET, MX	MX	Mythic
2	2026/10/5	45[.]142[.]30[.]135	215428	shinomiya - Mykyta Skorobohatko, UA	SC	Mythic
3	2026/10/5	57[.]128[.]171[.]127	16276	OVH - OVH SAS, FR	FR	Mythic
4	2026/10/5	100[.]61[.]249[.]34	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
5	2026/10/5	137[.]175[.]102[.]11	54600	PEG-SV - PEG TECH INC, US	US	Havoc
6	2026/10/5	193[.]160[.]32[.]191	206216	ADVIN-AS - Advin Services LLC, US	US	Havoc
7	2026/10/6	102[.]117[.]175[.]209	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
8	2026/10/6	120[.]79[.]146[.]35	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	Mythic
9	2026/10/6	137[.]184[.]139[.]185	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Havoc
10	2026/10/6	157[.]137[.]215[.]66	31898	ORACLE-BMC-31898 - Oracle Corporation, US	US	Havoc
11	2026/10/6	64[.]227[.]35[.]8	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Havoc
12	2026/10/6	80[.]78[.]18[.]225	39287	materialism - Materialism s.r.l., RO	RO	Empire
13	2026/10/7	175[.]43[.]223[.]206	4837	CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN	CN	Mythic
14	2026/10/7	80[.]78[.]28[.]29	39287	materialism - Materialism s.r.l., RO	RO	sliver
15	2026/10/7	100[.]57[.]14[.]236	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
16	2026/10/7	18[.]225[.]217[.]205	16509	AMAZON-02 - Amazon.com, Inc., US	US	Havoc
17	2026/10/7	52[.]246[.]183[.]133	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	Havoc
18	2026/10/8	102[.]117[.]168[.]65	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
19	2026/10/8	152[.]53[.]22[.]243	197540	netcup-AS - netcup GmbH, DE	AT	Mythic
20	2026/10/8	198[.]44[.]33[.]152	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
21	2026/10/8	131[.]123[.]43[.]22	200019	AlexHost - ALEXHOST SRL, MD	MD	NimPlant
22	2026/10/8	45[.]79[.]198[.]116	63949	AKAMAI-LINODE-AP - Akamai Connected Cloud, SG	US	Havoc
23	2026/10/8	74[.]241[.]250[.]35	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	Havoc
24	2026/10/9	102[.]117[.]161[.]148	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
25	2026/10/9	187[.]7[.]16[.]213	47583	AS-HOSTINGER - Hostinger International Limited, CY	LT	Mythic
26	2026/10/9	34[.]215[.]173[.]126	16509	AMAZON-02 - Amazon.com, Inc., US	US	Mythic
27	2026/10/9	34[.]79[.]176[.]147	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	Mythic
28	2026/10/9	54[.]198[.]79[.]225	14618	AMAZON-AES - Amazon.com, Inc., US	US	Mythic
29	2026/10/9	5[.]180[.]42[.]176	200590	asnls - NLS Kazakhstan LLC, KZ	CY	Mythic
30	2026/10/9	64[.]176[.]35[.]240	20473	AS-VULTR - The Constant Company, LLC, US	US	Mythic
31	2026/10/9	72[.]61[.]118[.]161	47583	AS-HOSTINGER - Hostinger International Limited, CY	LT	Mythic
32	2026/10/9	194[.]226[.]187[.]161	197695	AS-REGRU - Domain names registrar REG.RU, Ltd, RU	RU	sliver
33	2026/10/9	37[.]204[.]245[.]214	42610	NCNET-AS - PJSC Rostelecom, RU	RU	sliver
34	2026/10/10	189[.]249[.]195[.]244	8151	AS8151 - UNINET, MX	MX	Mythic
35	2026/10/10	45[.]129[.]8[.]190	3258	XTOM-JAPAN - xTom Japan Corporation, JP	DE	sliver
36	2026/10/10	167[.]71[.]19[.]245	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Phishing evilginx
37	2026/10/10	98[.]81[.]160[.]180	14618	AMAZON-AES - Amazon.com, Inc., US	US	Phishing evilginx

This week's threat analysis

No.1 Warlock Stealer Panel

Warlock Stealer Panel
5[.]39[.]10[.]246

VThttps://t.co/5IBjJG49z5

Samplehttps://t.co/kdsqjB2hic #CTI #stealer pic.twitter.com/oinSnR3X7t
— DiscoNinja (@momomopas) 2026年10月6日

No.2 C2 数据管理后台

Censys Queryhttps://t.co/ErgcajhHmk.endpoints.http.html_title = "C2 数据管理后台"#CTI #censys https://t.co/R4ETSvy5FZ pic.twitter.com/o6wKT35ZA7
— DiscoNinja (@momomopas) 2026年10月7日

No.3 Anti-detection redirection system Panel

Anti-detection redirection system Panel

【Censys Query】https://t.co/ErgcajhHmk.endpoints.http.html_title: "反检测重定向系统 - 管理后台"

【IP】
43[.]128[.]229[.]35
43[.]130[.]237[.]199
43[.]133[.]163[.]30
43[.]153[.]159[.]146
43[.]160[.]196[.]144
43[.]160[.]196[.]158… pic.twitter.com/7yaFRVeNTC
— DiscoNinja (@momomopas) 2026年10月9日

No.4 Cobra Stealer

Cobra Stealer
185[.]46[.]70[.]230#CTI #Stealer
— DiscoNinja (@momomopas) 2026年10月9日

Special Thanks

この調査はCensys社のResearch Accessによって実施されました。
ご支援に深く感謝いたします。

docs.censys.com

2026-10-04

Weekly Threat Infrastructure Investigation(Week40)

Hunting for enemy infrastructure in Japan

概要 / Overview

調査期間（2026年9月28日〜10月4日）において、グローバルで合計75件のC2サーバーを特定しました。本調査では、Cobalt Strike をはじめ、SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant といった多岐にわたるC2フレームワークを監視対象としており、攻撃者が利用するインフラの最新の分布状況を可視化しています。

In this report, we utilized Censys's advanced search capabilities to conduct a comprehensive analysis of Command and Control (C2) infrastructure exposed across the global internet.

During the reporting period (September 28 – Octobert 4, 2026), we identified a total of 75 C2 servers deployed worldwide. Our monitoring scope encompasses a diverse array of frameworks—including Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, and NimPlant—providing visibility into the current distribution of adversary infrastructure on a global scale.

サマリ / Summary

調査期間 / Period: 2026/09/28 – 2026/10/04
総検出件数 / Total Detections: 75 IPs
監視対象フレームワーク / Tracked Frameworks: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, etc.

C2種別内訳 / Type of C2 Servers Found

C2	Count
Sliver	35
Mythic	18
Havoc	8
Empire	7
Cobalt Strike	5
SuperShell	5

詳細データ / Aggregate Data

No	Date	IP	Autonomous System Number	Autonomous System Label	Country	C2
1	2026/9/28	116[.]205[.]106[.]137	55990	HWCSNET - Huawei Cloud Service data center, CN	CN	Cobalt Strike
2	2026/9/28	156[.]239[.]4[.]189	154321	CCSB-AS-AP - CORENET CLOUD SDN. BHD., MY	SC	Cobalt Strike
3	2026/9/28	178[.]62[.]229[.]37	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Cobalt Strike
4	2026/9/28	212[.]43[.]144[.]82	211381	PODAON - Podaon SIA, LV	NL	Cobalt Strike
5	2026/9/28	103[.]115[.]49[.]68	55933	CLOUDIE-AS-AP - Cloudie Limited, HK	CN	SuperShell
6	2026/9/28	185[.]213[.]22[.]64	9009	M247 - M247 Europe SRL, RO	CA	Mythic
7	2026/9/28	64[.]188[.]59[.]224	210976	TWC-EU - Timeweb, LLP, KZ	HK	Mythic
8	2026/9/28	89[.]125[.]66[.]231	212477	ROYALE-AS - RoyaleHosting BV, NL	AE	Mythic
9	2026/9/28	114[.]132[.]249[.]97	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver
10	2026/9/28	24[.]144[.]71[.]145	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
11	2026/9/28	144[.]172[.]69[.]79	30823	AUROLOGIC - aurologic GmbH, DE	US	Havoc
12	2026/9/28	179[.]43[.]170[.]151	51852	PLI-AS - Private Layer INC, PA	PA	Havoc
13	2026/9/28	89[.]44[.]9[.]203	9009	M247 - M247 Europe SRL, RO	RO	Havoc
14	2026/9/28	185[.]117[.]89[.]70	59711	HZ-EU-AS - HZ Hosting Ltd, BG	BG	Empire
15	2026/9/28	94[.]154[.]11[.]206	211183	AdminVPS - AdminVPS OOO, RU	RU	Empire
16	2026/9/29	134[.]175[.]40[.]200	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	SuperShell
17	2026/9/29	141[.]11[.]45[.]189	16276	OVH - OVH SAS, FR	FR	Mythic
18	2026/9/29	206[.]209[.]210[.]6	215674	BROOKPLUS-LIMITED - Brookplus Limited, GB	GB	Mythic
19	2026/9/29	64[.]94[.]85[.]173	399629	BLNWX - BL Networks, US	US	Mythic
20	2026/9/29	107[.]172[.]35[.]207	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
21	2026/9/29	154[.]219[.]114[.]14	401701	COGNETCLOUD-2 - cognetcloud INC, US	SC	sliver
22	2026/9/29	193[.]149[.]129[.]2	399629	BLNWX - BL Networks, US	US	sliver
23	2026/9/29	38[.]60[.]125[.]189	140869	TGL-AS-AP - Turing Group Limited, NZ	US	sliver
24	2026/9/29	42[.]112[.]213[.]93	18403	FPT-VN - FPT Telecom Company, VN	VN	sliver
25	2026/9/29	169[.]58[.]228[.]3	51167	CONTABO - Contabo GmbH, DE	DE	Havoc
26	2026/9/29	78[.]17[.]93[.]159	26832	RICAWEBSERVICES - Rica Web Services, CA	AE	Havoc
27	2026/9/30	83[.]229[.]121[.]34	139659	LUCID-AS-AP - LUCIDACLOUD LIMITED, HK	HK	SuperShell
28	2026/9/30	102[.]117[.]165[.]210	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
29	2026/9/30	130[.]94[.]67[.]107	154177	LIGHT4-AS-AP - LIGHT NODE LIMITED, HK	US	Mythic
30	2026/9/30	187[.]145[.]62[.]206	8151	AS8151 - UNINET, MX	MX	Mythic
31	2026/9/30	198[.]211[.]102[.]128	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Mythic
32	2026/9/30	20[.]193[.]139[.]57	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	Mythic
33	2026/9/30	36[.]248[.]232[.]190	4837	CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN	CN	Mythic
34	2026/9/30	51[.]54[.]125[.]210	8070	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	GB	Mythic
35	2026/9/30	101[.]42[.]108[.]164	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver
36	2026/9/30	103[.]238[.]235[.]171	140810	MEGACORE-AS-VN - Megacore Technology Company Limited, VN	VN	sliver
37	2026/9/30	121[.]4[.]43[.]2	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver
38	2026/9/30	129[.]204[.]144[.]48	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver, SuperShell
39	2026/9/30	138[.]16[.]183[.]115	48282	VDSINA-AS - Hosting technology LTD, RU	RU	sliver
40	2026/9/30	146[.]59[.]63[.]41	16276	OVH - OVH SAS, FR	FR	sliver
41	2026/9/30	147[.]50[.]242[.]137	142299	CLOUDFORESTCOLTD-AS-AP - CLOUDFOREST CO., LTD., TH	TH	sliver
42	2026/9/30	152[.]42[.]207[.]101	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
43	2026/9/30	154[.]219[.]101[.]56	401701	COGNETCLOUD-2 - cognetcloud INC, US	SC	sliver, Cobalt Strike
44	2026/9/30	162[.]33[.]178[.]10	399629	BLNWX - BL Networks, US	US	sliver
45	2026/9/30	198[.]144[.]183[.]169	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
46	2026/9/30	203[.]88[.]118[.]192	35916	MULTA-ASN1 - MULTACOM CORPORATION, US	AU	sliver
47	2026/9/30	43[.]161[.]243[.]73	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	sliver
48	2026/9/30	43[.]163[.]208[.]239	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	sliver
49	2026/9/30	45[.]197[.]12[.]215	142002	SCLOUDPTELTD-AS - Scloud Pte Ltd, SG	SC	sliver
50	2026/9/30	46[.]19[.]140[.]40	51852	PLI-AS - Private Layer INC, PA	PA	sliver
51	2026/9/30	64[.]23[.]254[.]205	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
52	2026/9/30	79[.]137[.]77[.]63	16276	OVH - OVH SAS, FR	FR	sliver
53	2026/9/30	89[.]106[.]83[.]214	200051	VPSLab-Networks - RIZKI ABDUL AZIS, ID	DE	sliver
54	2026/9/30	91[.]199[.]32[.]35	16276	OVH - OVH SAS, FR	HR	sliver
55	2026/9/30	94[.]154[.]43[.]217	219502	STORMCLOUD-AS - Storm Industries LLC, US	UA	sliver
56	2026/9/30	34[.]116[.]132[.]157	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	Havoc
57	2026/10/1	104[.]223[.]75[.]156	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
58	2026/10/1	5[.]230[.]253[.]51	12586	ASGHOSTNET - GHOSTnet GmbH, DE	DE	sliver
59	2026/10/1	82[.]25[.]63[.]33	207043	DEDIK-IO - DEDIK SERVICES LIMITED, GB	GB	sliver
60	2026/10/1	68[.]178[.]202[.]150	398101	GO-DADDY-COM-LLC - GoDaddy.com, LLC, US	US	Havoc, sliver, Mythic
61	2026/10/1	68[.]178[.]205[.]17	398101	GO-DADDY-COM-LLC - GoDaddy.com, LLC, US	US	Havoc, sliver, Mythic
62	2026/10/2	91[.]202[.]5[.]107	43641	Sollutium-NL - SOLLUTIUM EU Sp z.o.o., PL	PL	SuperShell
63	2026/10/2	34[.]22[.]149[.]111	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	Mythic
64	2026/10/2	129[.]151[.]233[.]212	31898	ORACLE-BMC-31898 - Oracle Corporation, US	US	Empire
65	2026/10/2	185[.]121[.]14[.]160	50053	VDSKA-AS - Anton Levin, KG	ES	Empire
66	2026/10/2	185[.]237[.]15[.]199	204548	CLOUDWEBMANAGE-IL-FR - Kamatera Inc, US	IL	Empire
67	2026/10/3	102[.]117[.]170[.]218	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
68	2026/10/3	45[.]135[.]119[.]121	6134	XNNET - XNNET LLC, US	HK	Mythic
69	2026/10/3	62[.]113[.]106[.]171	198610	BEGET-AS - Beget LLC, RU	RU	Mythic
70	2026/10/3	156[.]251[.]16[.]152	399077	TERAEXCH - Tcloudnet, US	SC	sliver
71	2026/10/3	159[.]89[.]28[.]205	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
72	2026/10/3	51[.]178[.]49[.]164	16276	OVH - OVH SAS, FR	FR	sliver
73	2026/10/3	92[.]51[.]46[.]35	210976	TWC-EU - Timeweb, LLP, KZ	RU	Havoc
74	2026/10/3	120[.]48[.]103[.]49	38365	Baidu - Beijing Baidu Netcom Science and Technology Co., Ltd., CN	CN	Empire
75	2026/10/3	85[.]137[.]252[.]226	215428	shinomiya - Mykyta Skorobohatko, UA	GB	Empire

This week's threat analysis

No.1 Coruna Exploit Kit hunting with Censys.

Coruna Exploit Kit hunting with Censys.

Censys query:https://t.co/ErgcajhHmk.endpoints.http.html_title = "group" and (https://t.co/ErgcajhHmk.endpoints.http.body:"platform_module.js" OR https://t.co/ErgcajhHmk.endpoints.http.body:"utility_module.js" )

Useful for identifying…
— DiscoNinja (@momomopas) 2026年9月28日

host.services.endpoints.http.html_title = "group" and (https://host.services.endpoints.http.body:"platform_module.js" OR https://host.services.endpoints.http.body:"utility_module.js" )

8[.]209[.]234[.]58
27[.]124[.]34[.]72
27[.]124[.]34[.]94
27[.]124[.]34[.]114
38[.]46[.]219[.]11
47[.]87[.]36[.]110
103[.]230[.]240[.]71 
186[.]240[.]201[.]88 
186[.]240[.]201[.]89 
198[.]23[.]136[.]150 
198[.]23[.]196[.]131

No.2 Coruna Admin Panel

Coruna Admin Panel
Censys Query
web.endpoints.http.body_hash_sha256 = "e4a1c1908258c757416a108b1128757678511132f8b1071d2d3401496c24ed22" or https://t.co/ErgcajhHmk.endpoints.http.body_hash_sha256 = "e4a1c1908258c757416a108b1128757678511132f8b1071d2d3401496c24ed22"#CTI pic.twitter.com/MjjuJzv8QV
— DiscoNinja (@momomopas) 2026年9月28日

web.endpoints.http.body_hash_sha256 = "e4a1c1908258c757416a108b1128757678511132f8b1071d2d3401496c24ed22" or https://host.services.endpoints.http.body_hash_sha256 = "e4a1c1908258c757416a108b1128757678511132f8b1071d2d3401496c24ed22"

20[.]198[.]217[.]253
23[.]158[.]24[.]13  
34[.]203[.]155[.]225
34[.]234[.]211[.]138
37[.]114[.]37[.]156 
38[.]46[.]219[.]11  
38[.]55[.]193[.]89  
38[.]60[.]125[.]150 
38[.]76[.]183[.]235 
43[.]135[.]53[.]7
43[.]160[.]218[.]7  
43[.]165[.]5[.]83
43[.]167[.]10[.]228 
45[.]135[.]47[.]250 
45[.]147[.]201[.]131
45[.]194[.]21[.]200 
45[.]207[.]218[.]167
47[.]111[.]2[.]89
98[.]159[.]108[.]128
102[.]134[.]35[.]160
103[.]110[.]221[.]107 
103[.]142[.]103[.]167 
103[.]186[.]215[.]65
103[.]242[.]15[.]123
104[.]233[.]209[.]140 
107[.]150[.]106[.]193 
107[.]173[.]80[.]124
123[.]206[.]122[.]125 
130[.]94[.]31[.]40  
134[.]122[.]185[.]203 
137[.]220[.]134[.]43
147[.]182[.]132[.]237 
154[.]37[.]220[.]184
154[.]198[.]52[.]33 
154[.]198[.]52[.]36 
156[.]239[.]230[.]158 
156[.]251[.]18[.]70 
157[.]119[.]103[.]94
157[.]119[.]103[.]204 
162[.]4[.]136[.]33  
165[.]154[.]199[.]54
166[.]0[.]25[.]103  
166[.]88[.]97[.]46  
172[.]245[.]168[.]163 
177[.]2[.]18[.]176  
177[.]3[.]90[.]216  
186[.]244[.]231[.]240 
186[.]244[.]238[.]78
189[.]24[.]66[.]95  
191[.]124[.]126[.]73
202[.]61[.]141[.]164
202[.]61[.]157[.]11 
203[.]91[.]76[.]86  
207[.]57[.]209[.]66 
207[.]57[.]209[.]67 
207[.]57[.]209[.]68 
207[.]57[.]209[.]69 
207[.]57[.]209[.]70 
207[.]57[.]209[.]71 
207[.]57[.]209[.]72 
207[.]57[.]209[.]73 
207[.]57[.]209[.]74 
207[.]57[.]209[.]75 
207[.]57[.]209[.]76 
207[.]57[.]209[.]77 
207[.]57[.]209[.]78 
207[.]57[.]209[.]79 
207[.]57[.]209[.]80 
207[.]57[.]209[.]81 
207[.]57[.]209[.]82 
207[.]57[.]209[.]83 
207[.]57[.]209[.]84 
207[.]57[.]209[.]85 
207[.]57[.]209[.]86 
207[.]57[.]209[.]87 
207[.]57[.]209[.]88 
207[.]57[.]209[.]89 
207[.]57[.]209[.]90 
207[.]57[.]209[.]91 
207[.]57[.]209[.]92 
207[.]57[.]209[.]93 
207[.]57[.]209[.]94 
207[.]57[.]211[.]66 
207[.]57[.]211[.]67 
207[.]57[.]211[.]68 
207[.]57[.]211[.]69 
207[.]57[.]211[.]70 
207[.]57[.]211[.]71 
207[.]57[.]211[.]72 
207[.]57[.]211[.]73 
207[.]57[.]211[.]74 
207[.]57[.]211[.]75 
207[.]57[.]211[.]76 
207[.]57[.]211[.]77 
207[.]57[.]211[.]78 
207[.]57[.]211[.]79 
207[.]57[.]211[.]80 
207[.]57[.]211[.]81 
207[.]57[.]211[.]82 
207[.]57[.]211[.]83 
207[.]57[.]211[.]84 
207[.]57[.]211[.]85 
207[.]57[.]211[.]86 
207[.]57[.]211[.]87 
207[.]57[.]211[.]88 
207[.]57[.]211[.]89 
207[.]57[.]211[.]90 
207[.]57[.]211[.]91 
207[.]57[.]211[.]92 
207[.]57[.]211[.]93 
207[.]57[.]211[.]94 
207[.]57[.]213[.]66 
207[.]57[.]213[.]67 
207[.]57[.]213[.]68 
207[.]57[.]213[.]69 
207[.]57[.]213[.]70 
207[.]57[.]213[.]71 
207[.]57[.]213[.]72 
207[.]57[.]213[.]73 
207[.]57[.]213[.]74 
207[.]57[.]213[.]75 
207[.]57[.]213[.]76 
207[.]57[.]213[.]77 
207[.]57[.]213[.]78 
207[.]57[.]213[.]79 
207[.]57[.]213[.]80 
207[.]57[.]213[.]81 
207[.]57[.]213[.]82 
207[.]57[.]213[.]83 
207[.]57[.]213[.]84 
207[.]57[.]213[.]85 
207[.]57[.]213[.]86 
207[.]57[.]213[.]87 
207[.]57[.]213[.]88 
207[.]57[.]213[.]89 
207[.]57[.]213[.]90 
207[.]57[.]213[.]91 
207[.]57[.]213[.]92 
207[.]57[.]213[.]93 
207[.]57[.]213[.]94 
207[.]57[.]215[.]66 
207[.]57[.]215[.]67 
207[.]57[.]215[.]68 
207[.]57[.]215[.]69 
207[.]57[.]215[.]70 
207[.]57[.]215[.]71 
207[.]57[.]215[.]72 
207[.]57[.]215[.]73 
207[.]57[.]215[.]74 
207[.]57[.]215[.]75 
207[.]57[.]215[.]76 
207[.]57[.]215[.]77 
207[.]57[.]215[.]78 
207[.]57[.]215[.]79 
207[.]57[.]215[.]80 
207[.]57[.]215[.]81 
207[.]57[.]215[.]82 
207[.]57[.]215[.]83 
207[.]57[.]215[.]84 
207[.]57[.]215[.]85 
207[.]57[.]215[.]86 
207[.]57[.]215[.]87 
207[.]57[.]215[.]88 
207[.]57[.]215[.]89 
207[.]57[.]215[.]90 
207[.]57[.]215[.]91 
207[.]57[.]215[.]92 
207[.]57[.]215[.]93 
207[.]57[.]215[.]94 
207[.]57[.]217[.]66 
207[.]57[.]217[.]67 
207[.]57[.]217[.]68 
207[.]57[.]217[.]69 
207[.]57[.]217[.]70 
207[.]57[.]217[.]71 
207[.]57[.]217[.]72 
207[.]57[.]217[.]73 
207[.]57[.]217[.]74 
207[.]57[.]217[.]75 
207[.]57[.]217[.]76 
207[.]57[.]217[.]77 
207[.]57[.]217[.]78 
207[.]57[.]217[.]79 
207[.]57[.]217[.]80 
207[.]57[.]217[.]81 
207[.]57[.]217[.]82 
207[.]57[.]217[.]83 
207[.]57[.]217[.]84 
207[.]57[.]217[.]85 
207[.]57[.]217[.]86 
207[.]57[.]217[.]87 
207[.]57[.]217[.]88 
207[.]57[.]217[.]89 
207[.]57[.]217[.]90 
207[.]57[.]217[.]91 
207[.]57[.]217[.]92 
207[.]57[.]217[.]93 
207[.]57[.]217[.]94 
207[.]57[.]219[.]66 
207[.]57[.]219[.]67 
207[.]57[.]219[.]68 
207[.]57[.]219[.]69 
207[.]57[.]219[.]70 
207[.]57[.]219[.]71 
207[.]57[.]219[.]72 
207[.]57[.]219[.]73 
207[.]57[.]219[.]74 
207[.]57[.]219[.]75 
207[.]57[.]219[.]76 
207[.]57[.]219[.]77 
207[.]57[.]219[.]78 
207[.]57[.]219[.]79 
207[.]57[.]219[.]80 
207[.]57[.]219[.]81 
207[.]57[.]219[.]82 
207[.]57[.]219[.]83 
207[.]57[.]219[.]84 
207[.]57[.]219[.]85 
207[.]57[.]219[.]86 
207[.]57[.]219[.]87 
207[.]57[.]219[.]88 
207[.]57[.]219[.]89 
207[.]57[.]219[.]90 
207[.]57[.]219[.]91 
207[.]57[.]219[.]92 
207[.]57[.]219[.]93 
207[.]57[.]219[.]94 
207[.]57[.]221[.]66 
207[.]57[.]221[.]67 
207[.]57[.]221[.]68 
207[.]57[.]221[.]69 
207[.]57[.]221[.]70 
207[.]57[.]221[.]71 
207[.]57[.]221[.]72 
207[.]57[.]221[.]73 
207[.]57[.]221[.]74 
207[.]57[.]221[.]75 
207[.]57[.]221[.]76 
207[.]57[.]221[.]77 
207[.]57[.]221[.]78 
207[.]57[.]221[.]79 
207[.]57[.]221[.]80 
207[.]57[.]221[.]81 
207[.]57[.]221[.]82 
207[.]57[.]221[.]83 
207[.]57[.]221[.]84 
207[.]57[.]221[.]85 
207[.]57[.]221[.]86 
207[.]57[.]221[.]87 
207[.]57[.]221[.]88 
207[.]57[.]221[.]89 
207[.]57[.]221[.]90 
207[.]57[.]221[.]91 
207[.]57[.]221[.]92 
207[.]57[.]221[.]93 
207[.]57[.]221[.]94 
207[.]57[.]223[.]66 
207[.]57[.]223[.]67 
207[.]57[.]223[.]68 
207[.]57[.]223[.]69 
207[.]57[.]223[.]70 
207[.]57[.]223[.]71 
207[.]57[.]223[.]72 
207[.]57[.]223[.]73 
207[.]57[.]223[.]74 
207[.]57[.]223[.]75 
207[.]57[.]223[.]76 
207[.]57[.]223[.]77 
207[.]57[.]223[.]78 
207[.]57[.]223[.]79 
207[.]57[.]223[.]80 
207[.]57[.]223[.]81 
207[.]57[.]223[.]82 
207[.]57[.]223[.]83 
207[.]57[.]223[.]84 
207[.]57[.]223[.]85 
207[.]57[.]223[.]86 
207[.]57[.]223[.]87 
207[.]57[.]223[.]88 
207[.]57[.]223[.]89 
207[.]57[.]223[.]90 
207[.]57[.]223[.]91 
207[.]57[.]223[.]92 
207[.]57[.]223[.]93 
207[.]57[.]223[.]94 
207[.]57[.]254[.]210
207[.]57[.]254[.]211
207[.]57[.]254[.]212
207[.]57[.]254[.]213
207[.]57[.]254[.]214
207[.]148[.]68[.]107
210[.]126[.]235[.]135

No.3 DarkSword Admin Panel

DarkSword Admin Panel
Censys Query
web.endpoints.http.body_hash_sha256 = "46a0bd09f145ab909e5bf45fafe906f452f06971bd227653f0c52af8e22da89e" or https://t.co/ErgcajhHmk.endpoints.http.body_hash_sha256 = "46a0bd09f145ab909e5bf45fafe906f452f06971bd227653f0c52af8e22da89e"#CTI pic.twitter.com/9EtY4Hfjsw
— DiscoNinja (@momomopas) 2026年9月28日

web.endpoints.http.body_hash_sha256 = "46a0bd09f145ab909e5bf45fafe906f452f06971bd227653f0c52af8e22da89e" or https://host.services.endpoints.http.body_hash_sha256 = "46a0bd09f145ab909e5bf45fafe906f452f06971bd227653f0c52af8e22da89e"

35[.]203[.]134[.]133
38[.]181[.]56[.]130 
38[.]246[.]253[.]101
43[.]108[.]57[.]27
43[.]136[.]35[.]215 
43[.]255[.]28[.]208 
45[.]192[.]110[.]60 
47[.]236[.]83[.]240 
47[.]254[.]120[.]61 
89[.]125[.]43[.]163 
103[.]27[.]79[.]231 
103[.]52[.]153[.]142
103[.]230[.]240[.]83
103[.]254[.]148[.]169 
107[.]149[.]129[.]212 
107[.]175[.]49[.]181
112[.]213[.]108[.]85
118[.]107[.]35[.]196
118[.]107[.]35[.]248
154[.]18[.]187[.]160
154[.]36[.]167[.]198
154[.]64[.]253[.]241
154[.]64[.]255[.]165
157[.]119[.]103[.]204 
162[.]251[.]94[.]208
173[.]211[.]81[.]169
177[.]2[.]18[.]101
186[.]244[.]231[.]115 
192[.]253[.]229[.]191 
202[.]146[.]222[.]253 
208[.]87[.]200[.]68 
210[.]126[.]235[.]135

No.4 suspicious open directory

suspicious open directory
dirtyfrag&gs-netcat&bash script
5[.]188[.]230[.]120
5[.]188[.]230[.]121
5[.]188[.]230[.]123
5[.]188[.]230[.]130
5[.]188[.]230[.]139
5[.]188[.]230[.]140
5[.]188[.]230[.]141
5[.]188[.]230[.]16
5[.]188[.]230[.]52
5[.]188[.]230[.]88#opendir #CTI pic.twitter.com/mhtIwCZYqH
— DiscoNinja (@momomopas) 2026年10月3日

No.x ARTEX — 自主渗透测试控制台

https://github.com/Autumn-27/ARTEX

web.endpoints.http.html_title: "ARTEX — 自主渗透测试控制台"

Special Thanks

この調査はCensys社のResearch Accessによって実施されました。
ご支援に深く感謝いたします。

docs.censys.com

2026-09-27

Weekly Threat Infrastructure Investigation(Week39)

Hunting for enemy infrastructure in Japan

概要 / Overview

調査期間（2026年9月21日〜9月27日）において、グローバルで合計63件のC2サーバーを特定しました。本調査では、Cobalt Strike をはじめ、SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant といった多岐にわたるC2フレームワークを監視対象としており、攻撃者が利用するインフラの最新の分布状況を可視化しています。

In this report, we utilized Censys's advanced search capabilities to conduct a comprehensive analysis of Command and Control (C2) infrastructure exposed across the global internet.

During the reporting period (September 21 – September 27, 2026), we identified a total of 63 C2 servers deployed worldwide. Our monitoring scope encompasses a diverse array of frameworks—including Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, and NimPlant—providing visibility into the current distribution of adversary infrastructure on a global scale.

サマリ / Summary

調査期間 / Period: 2026/09/21 – 2026/09/27
総検出件数 / Total Detections: 63 IPs
監視対象フレームワーク / Tracked Frameworks: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, etc.

C2種別内訳 / Type of C2 Servers Found

C2	Count
Mythic	20
Cobalt Strike	17
SuperShell	9
sliver	8
Havoc	6
Empire	2
evilginx	1

詳細データ / Aggregate Data

No	Date	IP	Autonomous System Number	Autonomous System Label	Country	C2
1	2026/9/21	106[.]53[.]168[.]218	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
2	2026/9/21	177[.]5[.]67[.]37	137535	JTIP-AS-AP - JT TELECOM INTERNATIONAL PTE.LTD., SG	HK	Cobalt Strike
3	2026/9/21	209[.]99[.]186[.]180	402253	SKN-NETWORK-1 - SKN Subnet & Telecom Ltd, KN	KN	Cobalt Strike
4	2026/9/21	172[.]121[.]249[.]172	138233	PROTON-AS-IN - Proton Internet Llp, IN	US	SuperShell
5	2026/9/21	130[.]94[.]66[.]253	154177	LIGHT4-AS-AP - LIGHT NODE LIMITED, HK	US	Mythic
6	2026/9/21	149[.]104[.]78[.]139	154177	LIGHT4-AS-AP - LIGHT NODE LIMITED, HK	US	Mythic
7	2026/9/21	46[.]36[.]40[.]185	42422	SECURITYNET-AS - SecurityNet.cz s.r.o., CZ	CZ	Mythic
8	2026/9/21	45[.]125[.]67[.]3	133398	TELE-AS - Tele Asia Limited, HK	HK	sliver
9	2026/9/21	91[.]92[.]242[.]225	202412	OMEGATECH-AS - Omegatech LTD, SC	TR	evilginx
10	2026/9/22	176[.]123[.]5[.]4	200019	AlexHost - ALEXHOST SRL, MD	MD	Cobalt Strike
11	2026/9/22	38[.]76[.]190[.]209	401701	COGNETCLOUD-2 - cognetcloud INC, US	US	Cobalt Strike
12	2026/9/22	23[.]159[.]160[.]195	26548	PUREVOLTAGE-INC - PureVoltage Hosting Inc., US	US	SuperShell
13	2026/9/22	102[.]117[.]169[.]159	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
14	2026/9/22	149[.]248[.]37[.]24	20473	AS-VULTR - The Constant Company, LLC, US	US	Mythic
15	2026/9/22	192[.]144[.]187[.]97	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver
16	2026/9/22	38[.]60[.]136[.]202	154177	LIGHT4-AS-AP - LIGHT NODE LIMITED, HK	US	Havoc
17	2026/9/23	54[.]250[.]169[.]207	16509	AMAZON-02 - Amazon.com, Inc., US	US	SuperShell
18	2026/9/23	142[.]93[.]126[.]132	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Mythic
19	2026/9/23	143[.]244[.]135[.]17	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Mythic
20	2026/9/23	172[.]94[.]9[.]194	213790	LimitedNetwork-AS - Limited Network LTD, GB	US	Mythic
21	2026/9/23	36[.]248[.]232[.]160	4837	CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN	CN	Mythic
22	2026/9/23	31[.]76[.]111[.]236	216039	AntiDDoS-pw - EdgeSec Technologies Limited, GB	US	sliver
23	2026/9/23	162[.]33[.]177[.]101	399629	BLNWX - BL Networks, US	US	Havoc
24	2026/9/23	188[.]48[.]121[.]249	25019	SAUDINETSTC-AS - Saudi Telecom Company JSC, SA	SA	Havoc
25	2026/9/23	51[.]159[.]21[.]191	12876	AS12876 - Scaleway SAS, FR	FR	Empire
26	2026/9/24	123[.]57[.]146[.]34	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	Cobalt Strike
27	2026/9/24	156[.]238[.]233[.]131	401696	COGNETCLOUD - cognetcloud INC, US	SC	Cobalt Strike
28	2026/9/24	47[.]116[.]130[.]234	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	Cobalt Strike
29	2026/9/24	27[.]14[.]2[.]173	4837	CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN	CN	SuperShell
30	2026/9/24	102[.]117[.]167[.]58	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
31	2026/9/24	138[.]197[.]31[.]70	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Mythic
32	2026/9/24	13[.]232[.]187[.]232	16509	AMAZON-02 - Amazon.com, Inc., US	US	Mythic
33	2026/9/24	206[.]245[.]132[.]241	26042	FIBERSTATE - FiberState, LLC, US	AE	Mythic
34	2026/9/24	64[.]227[.]178[.]198	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Mythic
35	2026/9/24	152[.]67[.]199[.]142	31898	ORACLE-BMC-31898 - Oracle Corporation, US	US	sliver
36	2026/9/24	43[.]130[.]69[.]135	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	sliver
37	2026/9/24	5[.]78[.]212[.]208	212317	HETZNER-CLOUD3-AS - Hetzner Online GmbH, DE	DE	Havoc
38	2026/9/24	80[.]78[.]26[.]216	39287	materialism - Materialism s.r.l., RO	RO	Empire
39	2026/9/25	106[.]54[.]201[.]103	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
40	2026/9/25	152[.]136[.]253[.]101	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
41	2026/9/25	209[.]38[.]82[.]85	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Cobalt Strike
42	2026/9/25	38[.]76[.]183[.]197	401701	COGNETCLOUD-2 - cognetcloud INC, US	US	Cobalt Strike
43	2026/9/25	39[.]100[.]66[.]238	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	Cobalt Strike
44	2026/9/25	47[.]83[.]3[.]103	45102	ALIBABA-CN-NET - Alibaba (US) Technology Co., Ltd., CN	US	Cobalt Strike
45	2026/9/25	47[.]86[.]184[.]71	45102	ALIBABA-CN-NET - Alibaba (US) Technology Co., Ltd., CN	US	Cobalt Strike
46	2026/9/25	47[.]94[.]56[.]71	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	Cobalt Strike
47	2026/9/25	122[.]10[.]24[.]106	134548	DXTL-HK - DXTL Tseung Kwan O Service, HK	HK	SuperShell
48	2026/9/25	122[.]10[.]71[.]108	134548	DXTL-HK - DXTL Tseung Kwan O Service, HK	HK	SuperShell
49	2026/9/25	124[.]222[.]21[.]29	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	SuperShell
50	2026/9/25	87[.]120[.]244[.]231	200019	AlexHost - ALEXHOST SRL, MD	GB	SuperShell
51	2026/9/25	102[.]117[.]173[.]122	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
52	2026/9/25	154[.]81[.]34[.]26	140869	TGL-AS-AP - Turing Group Limited, NZ	SC	Mythic
53	2026/9/25	189[.]141[.]14[.]79	8151	AS8151 - UNINET, MX	MX	Mythic
54	2026/9/25	137[.]184[.]126[.]9	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
55	2026/9/26	43[.]143[.]38[.]95	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
56	2026/9/26	122[.]10[.]71[.]109	134548	DXTL-HK - DXTL Tseung Kwan O Service, HK	HK	SuperShell
57	2026/9/26	146[.]190[.]120[.]19	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Mythic
58	2026/9/26	189[.]128[.]156[.]178	8151	AS8151 - UNINET, MX	MX	Mythic
59	2026/9/26	85[.]17[.]146[.]49	60781	LEASEWEB-NL-AMS-01 - LeaseWeb Netherlands B.V., NL	NL	Mythic
60	2026/9/26	144[.]208[.]127[.]217	395092	SHOCK-1 - Shock Hosting LLC, US	US	sliver
61	2026/9/26	172[.]245[.]111[.]207	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
62	2026/9/26	169[.]58[.]39[.]189	51167	CONTABO - Contabo GmbH, DE	DE	Havoc
63	2026/9/26	20[.]90[.]116[.]54	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	Havoc

Special Thanks

この調査はCensys社のResearch Accessによって実施されました。
ご支援に深く感謝いたします。

docs.censys.com

2026-09-20

Weekly Threat Infrastructure Investigation(Week38)

Hunting for enemy infrastructure in Japan

概要 / Overview

調査期間（2026年9月14日〜9月20日）において、グローバルで合計91件のC2サーバーを特定しました。本調査では、Cobalt Strike をはじめ、SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant といった多岐にわたるC2フレームワークを監視対象としており、攻撃者が利用するインフラの最新の分布状況を可視化しています。

In this report, we utilized Censys's advanced search capabilities to conduct a comprehensive analysis of Command and Control (C2) infrastructure exposed across the global internet.

During the reporting period (September 14 – September 20, 2026), we identified a total of 91 C2 servers deployed worldwide. Our monitoring scope encompasses a diverse array of frameworks—including Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, and NimPlant—providing visibility into the current distribution of adversary infrastructure on a global scale.

サマリ / Summary

調査期間 / Period: 2026/09/14 – 2026/09/20
総検出件数 / Total Detections: 91 IPs
監視対象フレームワーク / Tracked Frameworks: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, etc.

C2種別内訳 / Type of C2 Servers Found

C2	Count
sliver	31
Mythic	24
Cobalt Strike	17
Havoc	12
Empire	3
SuperShell	2
Chaos	1
sliver, Cobalt Strike	1

詳細データ / Aggregate Data

No	Date	IP	Autonomous System Number	Autonomous System Label	Country	C2
1	2026/9/14	149[.]30[.]232[.]29	133199	SONDERCLOUDLIMITED-AS-AP - SonderCloud Limited, HK	US	Cobalt Strike
2	2026/9/14	35[.]212[.]136[.]13	15169 19527 43515		US	Cobalt Strike
3	2026/9/14	47[.]81[.]57[.]227	45102	ALIBABA-CN-NET - Alibaba (US) Technology Co., Ltd., CN	US	Cobalt Strike
4	2026/9/14	182[.]255[.]45[.]195	6134	XNNET - XNNET LLC, US	HK	sliver
5	2026/9/14	45[.]86[.]64[.]228	212171	Local-as - Local NCC Ltd., GB	CY	Empire
6	2026/9/15	123[.]60[.]142[.]164	55990	HWCSNET - Huawei Cloud Service data center, CN	CN	Cobalt Strike
7	2026/9/15	158[.]94[.]210[.]131	202412	OMEGATECH-AS - Omegatech LTD, SC	TR	Cobalt Strike
8	2026/9/15	84[.]247[.]144[.]50	141995	CAPL-AS-AP - Contabo Asia Private Limited, SG	DE	Cobalt Strike
9	2026/9/15	102[.]117[.]165[.]202	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
10	2026/9/15	175[.]43[.]223[.]203	4837	CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN	CN	Mythic
11	2026/9/15	38[.]54[.]13[.]48	154177	LIGHT4-AS-AP - LIGHT NODE LIMITED, HK	US	Mythic
12	2026/9/15	95[.]158[.]131[.]139	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
13	2026/9/15	95[.]158[.]131[.]147	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
14	2026/9/15	95[.]158[.]131[.]151	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
15	2026/9/15	104[.]164[.]46[.]36	14315	1GSERVERS - 1GSERVERS, LLC, US	US	Havoc
16	2026/9/15	154[.]36[.]161[.]180	979	NETLAB-SDN - NetLab Global, US	US	Havoc
17	2026/9/15	207[.]89[.]17[.]5	215428	shinomiya - Mykyta Skorobohatko, UA	GB	Havoc
18	2026/9/15	3[.]15[.]142[.]151	16509	AMAZON-02 - Amazon.com, Inc., US	US	Empire
19	2026/9/15	43[.]140[.]219[.]30	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Chaos
20	2026/9/16	156[.]239[.]224[.]131	154321	CCSB-AS-AP - CORENET CLOUD SDN. BHD., MY	SC	Cobalt Strike
21	2026/9/16	47[.]238[.]116[.]190	45102	ALIBABA-CN-NET - Alibaba (US) Technology Co., Ltd., CN	US	SuperShell
22	2026/9/16	102[.]117[.]167[.]205	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
23	2026/9/16	141[.]148[.]194[.]147	31898	ORACLE-BMC-31898 - Oracle Corporation, US	US	Mythic
24	2026/9/16	85[.]137[.]252[.]195	215428	shinomiya - Mykyta Skorobohatko, UA	GB	Mythic
25	2026/9/16	95[.]158[.]131[.]135	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
26	2026/9/16	95[.]158[.]131[.]141	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
27	2026/9/16	95[.]158[.]131[.]149	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
28	2026/9/16	104[.]253[.]79[.]117	211273	csoft - Cloud Software - FZCO, AE	US	sliver
29	2026/9/16	109[.]236[.]50[.]145	60781	LEASEWEB-NL-AMS-01 - LeaseWeb Netherlands B.V., NL	TR	sliver, Cobalt Strike
30	2026/9/16	129[.]226[.]150[.]240	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	sliver
31	2026/9/16	136[.]110[.]51[.]183	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	sliver
32	2026/9/16	151[.]243[.]126[.]22	22160	INISMART-01 - INIsmart Technology Ltd., VG	AE	sliver
33	2026/9/16	15[.]204[.]66[.]40	16276	OVH - OVH SAS, FR	US	sliver
34	2026/9/16	161[.]153[.]76[.]241	31898	ORACLE-BMC-31898 - Oracle Corporation, US	US	sliver
35	2026/9/16	165[.]154[.]6[.]188	135377	UCLOUD-HK-AS-AP - UCLOUD INFORMATION TECHNOLOGY (HK) LIMITED, HK	HK	sliver
36	2026/9/16	165[.]227[.]32[.]223	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
37	2026/9/16	177[.]136[.]225[.]160	53107	AS53107 - EVEO S.A., BR	BR	sliver
38	2026/9/16	178[.]128[.]21[.]54	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	sliver
39	2026/9/16	179[.]199[.]198[.]208	400619	AROSS-AS - AROSSCLOUD INC., US	US	sliver
40	2026/9/16	192[.]155[.]92[.]211	63949	AKAMAI-LINODE-AP - Akamai Connected Cloud, SG	US	sliver
41	2026/9/16	20[.]127[.]244[.]233	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	sliver
42	2026/9/16	213[.]218[.]160[.]174	200651	FlokiNET - FlokiNET ehf, IS	IS	sliver
43	2026/9/16	2[.]27[.]204[.]21	219337	PLAY2GO - PLAY2GO - FZCO, AE	US	sliver
44	2026/9/16	37[.]60[.]241[.]141	51167	CONTABO - Contabo GmbH, DE	DE	sliver
45	2026/9/16	40[.]90[.]235[.]75	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	sliver
46	2026/9/16	43[.]130[.]127[.]89	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	sliver
47	2026/9/16	43[.]156[.]184[.]213	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	sliver
48	2026/9/16	43[.]157[.]204[.]73	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	sliver
49	2026/9/16	45[.]154[.]98[.]226	210558	services-1337-gmbh - 1337 Services GmbH, DE	BE	sliver
50	2026/9/16	47[.]84[.]125[.]171	45102	ALIBABA-CN-NET - Alibaba (US) Technology Co., Ltd., CN	US	sliver
51	2026/9/16	47[.]93[.]159[.]68	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	sliver
52	2026/9/16	4[.]154[.]203[.]165	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	sliver
53	2026/9/16	51[.]195[.]41[.]45	16276	OVH - OVH SAS, FR	FR	sliver
54	2026/9/16	52[.]175[.]50[.]182	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	sliver
55	2026/9/16	92[.]5[.]166[.]15	31898	ORACLE-BMC-31898 - Oracle Corporation, US	SE	sliver
56	2026/9/16	38[.]242[.]151[.]91	51167	CONTABO - Contabo GmbH, DE	US	Havoc
57	2026/9/17	122[.]10[.]115[.]27	24544	LAWSCLOUDINFRASTRUCTURELIMITED-AS-HK - Law_s Cloud Infrastructure Limited, HK	HK	Cobalt Strike
58	2026/9/17	42[.]193[.]227[.]214	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
59	2026/9/17	193[.]111[.]77[.]180	212219	HostingDunyam - HOSTING DUNYAM BILISIM TEKNOLOJILERI TICARET LIMITED SIRKETI, TR	TR	Mythic
60	2026/9/17	3[.]110[.]54[.]253	16509	AMAZON-02 - Amazon.com, Inc., US	US	Mythic
61	2026/9/17	83[.]52[.]241[.]18	3352	Telefonica_de_EspaNa - TELEFONICA DE ESPANA S.A.U., ES	ES	Mythic
62	2026/9/17	95[.]158[.]131[.]142	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
63	2026/9/17	95[.]158[.]131[.]144	41313	NOVATEL-AS - NOVATEL EOOD, BG	BG	Mythic
64	2026/9/17	118[.]195[.]163[.]227	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver
65	2026/9/17	95[.]38[.]176[.]143	202468	AbrArvan-AS - Noyan Abr Arvan Co. ( Private Joint Stock), IR	IR	sliver
66	2026/9/17	109[.]205[.]212[.]241	50053	VDSKA-AS - Anton Levin, KG	AZ	Havoc
67	2026/9/17	188[.]166[.]254[.]199	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Havoc
68	2026/9/17	209[.]38[.]100[.]69	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Havoc
69	2026/9/17	57[.]154[.]15[.]252	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	GB	Havoc
70	2026/9/18	117[.]72[.]202[.]154	141679	CHINATELECOM-IDC-BTHBD-AP - China Telecom Beijing Tianjin Hebei Big Data Industry Park Branch, CN	CN	Cobalt Strike
71	2026/9/18	43[.]136[.]93[.]107	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
72	2026/9/18	8[.]163[.]59[.]20	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	SG	Cobalt Strike
73	2026/9/18	134[.]122[.]202[.]217	152194	CTGSERVERLIMITED-AS-AP - CTG Server Limited, HK	SG	SuperShell
74	2026/9/18	102[.]117[.]168[.]208	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
75	2026/9/18	179[.]199[.]143[.]63	47583	AS-HOSTINGER - Hostinger International Limited, CY	LT	Mythic
76	2026/9/18	189[.]141[.]53[.]203	8151	AS8151 - UNINET, MX	MX	Mythic
77	2026/9/18	52[.]172[.]94[.]66	8075	MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US	US	sliver
78	2026/9/18	38[.]242[.]209[.]29	51167	CONTABO - Contabo GmbH, DE	US	Havoc
79	2026/9/18	76[.]13[.]165[.]226	47583	AS-HOSTINGER - Hostinger International Limited, CY	LT	Havoc
80	2026/9/18	83[.]97[.]20[.]211	9009	M247 - M247 Europe SRL, RO	RO	Havoc
81	2026/9/19	124[.]223[.]177[.]82	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
82	2026/9/19	154[.]219[.]101[.]56	401701	COGNETCLOUD-2 - cognetcloud INC, US	SC	Cobalt Strike
83	2026/9/19	167[.]179[.]67[.]162	20473	AS-VULTR - The Constant Company, LLC, US	US	Cobalt Strike
84	2026/9/19	43[.]138[.]116[.]60	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
85	2026/9/19	8[.]163[.]98[.]217	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	SG	Cobalt Strike
86	2026/9/19	217[.]216[.]34[.]133	141995	CAPL-AS-AP - Contabo Asia Private Limited, SG	DE	Mythic
87	2026/9/19	2[.]56[.]97[.]65	197540	netcup-AS - netcup GmbH, DE	DE	Mythic
88	2026/9/19	36[.]248[.]232[.]184	4837	CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN	CN	Mythic
89	2026/9/19	89[.]116[.]191[.]107	47583	AS-HOSTINGER - Hostinger International Limited, CY	LT	Mythic
90	2026/9/19	5[.]163[.]239[.]119	25019	SAUDINETSTC-AS - Saudi Telecom Company JSC, SA	SA	Havoc
91	2026/9/19	3[.]238[.]205[.]11	14618	AMAZON-AES - Amazon.com, Inc., US	US	Empire

Special Thanks

この調査はCensys社のResearch Accessによって実施されました。
ご支援に深く感謝いたします。

docs.censys.com

2026-09-17

CAPEsoloをWindows 11で構築してみた / Getting Started with CAPEsolo on Windows 11

The English version is available after the Japanese version below.

初めに

昨日、CAPEの公式Xアカウント（@CapeSandbox）が、以下の内容を投稿していました。

10 years ago today CAPE Sandbox was released...

Today we are proud to announce its desktop partner-project CAPEsolo: https://t.co/1voRdgbqOb 🎉

All the power of the sandbox in a desktop application 💪

pip install capesolo pic.twitter.com/xwg5WtCrPM
— CAPE Sandbox (@CapeSandbox) 2026年9月16日

CAPEをデスクトップアプリケーションとして利用できるようにするプロジェクト「CAPEsolo」をリリースしたとのことです。

https://github.com/CAPESandbox/CAPEsolo

本記事では、CAPEsoloを実際に構築した際の手順をメモとしてまとめます。

手順

1. 仮想マシンの構築

まず、仮想マシンを作成します。

READMEではWindows 10が推奨されていますが、今回はとりあえず動かしてみることを優先し、すでにProxmox上に構築していたWindows 11の仮想マシンを使用します。

仮想マシンの各種設定については、CAPEv2のGuest Guideを参考にします。

https://capev2.readthedocs.io/en/latest/installation/guest/index.html

2. Pythonのインストール

仮想マシンに64ビット版のPythonをインストールします。

READMEにはPython 3.11および3.12で動作確認されているとの記載があるため、今回はPython 3.12.7をインストールします。

インストール時には、PythonをPATHに追加する設定を忘れないようにしましょう。

3. Microsoft Visual C++ 再頒布可能パッケージのインストール

Pythonのインストールが完了したら、Microsoft Visual C++ 再頒布可能パッケージをインストールします。

x86版とx64版の両方をインストールします。

https://aka.ms/vs/17/release/vc_redist.x86.exe

https://aka.ms/vs/17/release/vc_redist.x64.exe

4. CAPEsoloのインストール

次に、pip経由でCAPEsoloをインストールします。

本家のCAPEと比べると、かなり簡単にインストールできる印象です。

pip install CAPEsolo

5. スナップショットの作成

最後に仮想マシンのスナップショットを作成すれば、環境構築は完了です。

本家のCAPEでは、解析終了後に仮想マシンを実行前のスナップショットへ自動的に戻してくれますが、CAPEsoloでは手動でスナップショットを復元する必要があります。

多少手間はかかるものの、マルウェア解析だけでなく、ファストフォレンジックの実行などにも柔軟に利用できそうなので、個人的にはかなり嬉しいポイントです。

実行方法

管理者権限でコマンドプロンプト（CMD）またはPowerShellを起動し、以下のコマンドを実行します。

capesolo

English

Yesterday, the official CAPE X account (@CapeSandbox) posted the following announcement:

10 years ago today CAPE Sandbox was released...

Today we are proud to announce its desktop partner-project CAPEsolo: https://t.co/1voRdgbqOb 🎉

All the power of the sandbox in a desktop application 💪

pip install capesolo pic.twitter.com/xwg5WtCrPM
— CAPE Sandbox (@CapeSandbox) 2026年9月16日

They announced the release of a project called CAPEsolo, which allows CAPE to be used as a desktop application.

https://github.com/CAPESandbox/CAPEsolo

This article is a setup note documenting the steps I followed to build and run CAPEsolo.

Setup

1. Create a Virtual Machine

First, create a virtual machine.

The README recommends Windows 10, but since I wanted to get the environment up and running quickly, I used an existing Windows 11 virtual machine that I had already configured on Proxmox.

For the virtual machine configuration, refer to the CAPEv2 Guest Guide:

https://capev2.readthedocs.io/en/latest/installation/guest/index.html

2. Install Python

Install the 64-bit version of Python on the virtual machine.

According to the README, CAPEsolo has been tested with Python 3.11 and 3.12, so I installed Python 3.12.7 for this setup.

During installation, make sure to enable the option to add Python to your PATH.

3. Install the Microsoft Visual C++ Redistributable

Once Python has been installed, install the Microsoft Visual C++ Redistributable.

Install both the x86 and x64 versions.

https://aka.ms/vs/17/release/vc_redist.x86.exe

https://aka.ms/vs/17/release/vc_redist.x64.exe

4. Install CAPEsolo

Next, install CAPEsolo via pip.

Compared with the original CAPE setup, the installation process feels significantly simpler.

pip install CAPEsolo

5. Create a Snapshot

Finally, create a snapshot of the virtual machine. At this point, the environment setup is complete.

With the original CAPE, the virtual machine is automatically reverted to the pre-execution snapshot after analysis. With CAPEsolo, however, you need to restore the snapshot manually.

Although this requires a little more manual work, it also provides greater flexibility. For example, the environment can be used not only for malware analysis but also for tasks such as running fast forensic triage tools.

Personally, I find this flexibility very useful.

Running CAPEsolo

Open Command Prompt (CMD) or PowerShell with administrator privileges, and run the following command:

capesolo

2026-09-13

Weekly Threat Infrastructure Investigation(Week37)

Hunting for enemy infrastructure in Japan

概要 / Overview

調査期間（2026年9月7日〜9月13日）において、グローバルで合計55件のC2サーバーを特定しました。本調査では、Cobalt Strike をはじめ、SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant といった多岐にわたるC2フレームワークを監視対象としており、攻撃者が利用するインフラの最新の分布状況を可視化しています。

In this report, we utilized Censys's advanced search capabilities to conduct a comprehensive analysis of Command and Control (C2) infrastructure exposed across the global internet.

During the reporting period (September 7 – September 13, 2026), we identified a total of 55 C2 servers deployed worldwide. Our monitoring scope encompasses a diverse array of frameworks—including Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, and NimPlant—providing visibility into the current distribution of adversary infrastructure on a global scale.

サマリ / Summary

調査期間 / Period: 2026/09/07 – 2026/09/13
総検出件数 / Total Detections: 55 IPs
監視対象フレームワーク / Tracked Frameworks: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, etc.

C2種別内訳 / Type of C2 Servers Found

C2	Count
Mythic	16
sliver	14
Cobalt Strike	10
Havoc	9
SuperShell	3
sliver, Mythic	2
Empire	1

詳細データ / Aggregate Data

No	Date	IP	Autonomous System Number	Autonomous System Label	Country	C2
1	2026/9/7	42[.]194[.]241[.]92	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
2	2026/9/7	44[.]249[.]249[.]89	16509	AMAZON-02 - Amazon.com, Inc., US	US	Cobalt Strike
3	2026/9/7	54[.]95[.]7[.]136	16509	AMAZON-02 - Amazon.com, Inc., US	US	SuperShell
4	2026/9/7	102[.]117[.]169[.]96	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
5	2026/9/7	172[.]86[.]80[.]201	14956	ROUTERHOSTING - RouterHosting LLC, US	US	Mythic
6	2026/9/7	185[.]227[.]152[.]231	55933	CLOUDIE-AS-AP - Cloudie Limited, HK	KR	Mythic
7	2026/9/7	187[.]145[.]123[.]29	8151	AS8151 - UNINET, MX	MX	Mythic
8	2026/9/7	104[.]129[.]54[.]121	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
9	2026/9/7	130[.]94[.]41[.]151	154177	LIGHT4-AS-AP - LIGHT NODE LIMITED, HK	US	sliver
10	2026/9/7	136[.]64[.]24[.]207	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	sliver
11	2026/9/7	45[.]77[.]51[.]59	20473	AS-VULTR - The Constant Company, LLC, US	US	sliver
12	2026/9/7	85[.]9[.]199[.]115	25697	UPCLOUDUSA - UpCloud USA Inc, US	FI	Havoc
13	2026/9/8	178[.]16[.]54[.]201	202412	OMEGATECH-AS - Omegatech LTD, SC	TR	Cobalt Strike
14	2026/9/8	43[.]155[.]9[.]112	132203	TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN	SG	Cobalt Strike
15	2026/9/8	159[.]194[.]232[.]217	198610	BEGET-AS - Beget LLC, RU	RU	sliver, Mythic
16	2026/9/8	15[.]235[.]204[.]60	16276	OVH - OVH SAS, FR	CA	Mythic
17	2026/9/8	170[.]64[.]183[.]242	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Mythic
18	2026/9/8	34[.]134[.]117[.]89	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	Mythic
19	2026/9/8	177[.]3[.]40[.]23	140227	HKCICL-AS-AP - Hong Kong Communications International Co., Limited, HK	HK	sliver
20	2026/9/8	1[.]14[.]73[.]118	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	sliver
21	2026/9/8	23[.]254[.]130[.]234	54290	HOSTWINDS - Hostwinds LLC., US	US	sliver
22	2026/9/8	38[.]76[.]205[.]40	401701	COGNETCLOUD-2 - cognetcloud INC, US	US	sliver
23	2026/9/9	156[.]225[.]18[.]222	401696	COGNETCLOUD - cognetcloud INC, US	SC	SuperShell
24	2026/9/9	78[.]39[.]51[.]23	42337	RESPINA-AS - Respina Networks & Beyond PJSC, IR	IR	Mythic
25	2026/9/9	95[.]31[.]213[.]79	8402	CORBINA-AS - PJSC Vimpelcom, RU	RU	Mythic
26	2026/9/9	209[.]99[.]190[.]104	402253	SKN-NETWORK-1 - SKN Subnet & Telecom Ltd, KN	KN	sliver
27	2026/9/9	45[.]9[.]150[.]244	49447	NICEIT - Nice IT Services Group Inc., DM	DM	sliver
28	2026/9/9	54[.]247[.]42[.]8	16509	AMAZON-02 - Amazon.com, Inc., US	US	Havoc
29	2026/9/9	101[.]43[.]58[.]169	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Empire
30	2026/9/10	111[.]231[.]116[.]164	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
31	2026/9/10	222[.]80[.]159[.]10	4134	CHINANET-BACKBONE - No.31,Jin-rong Street, CN	CN	Cobalt Strike
32	2026/9/10	150[.]40[.]98[.]51	30893	NOACKHOSTING-AS - No ACK Group Holding AB, SE	HR	Mythic
33	2026/9/10	187[.]145[.]125[.]245	8151	AS8151 - UNINET, MX	MX	Mythic
34	2026/9/10	3[.]87[.]86[.]71	14618	AMAZON-AES - Amazon.com, Inc., US	US	Mythic
35	2026/9/10	120[.]26[.]146[.]96	37963	ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN	CN	sliver
36	2026/9/10	82[.]29[.]53[.]100	142036	HOSTEONS-AS-AP - Hosteons Pte. Ltd., SG	GB	sliver
37	2026/9/10	154[.]46[.]30[.]12	203919	LumaDock-AS - LUMADOCK LTD, GB	US	Havoc
38	2026/9/10	16[.]5[.]7[.]159	219008	MAGNOHOST - Magnohost Provedora de Servicos Web LTDA, BR	US	Havoc
39	2026/9/10	172[.]105[.]42[.]32	63949	AKAMAI-LINODE-AP - Akamai Connected Cloud, SG	US	Havoc
40	2026/9/10	54[.]174[.]99[.]229	14618	AMAZON-AES - Amazon.com, Inc., US	US	Havoc
41	2026/9/10	64[.]226[.]112[.]160	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Havoc
42	2026/9/11	111[.]228[.]49[.]20	141679	CHINATELECOM-IDC-BTHBD-AP - China Telecom Beijing Tianjin Hebei Big Data Industry Park Branch, CN	CN	Cobalt Strike
43	2026/9/11	118[.]25[.]100[.]71	45090	TENCENT-NET-AP - Shenzhen Tencent Computer Systems Company Limited, CN	CN	Cobalt Strike
44	2026/9/11	23[.]227[.]196[.]108	29802	HVC-AS - HIVELOCITY, Inc., US	US	Cobalt Strike
45	2026/9/11	23[.]94[.]53[.]109	36352	AS-COLOCROSSING - HostPapa, US	US	SuperShell
46	2026/9/11	34[.]62[.]229[.]199	396982	GOOGLE-CLOUD-PLATFORM - Google LLC, US	US	Mythic
47	2026/9/11	146[.]70[.]79[.]45	9009	M247 - M247 Europe SRL, RO	RO	sliver
48	2026/9/11	23[.]94[.]206[.]113	36352	AS-COLOCROSSING - HostPapa, US	US	sliver
49	2026/9/11	104[.]248[.]156[.]16	14061	DIGITALOCEAN-ASN - DigitalOcean, LLC, US	US	Havoc
50	2026/9/11	50[.]60[.]157[.]152	25019	SAUDINETSTC-AS - Saudi Telecom Company JSC, SA	SA	Havoc
51	2026/9/12	109[.]236[.]50[.]145	60781	LEASEWEB-NL-AMS-01 - LeaseWeb Netherlands B.V., NL	TR	Cobalt Strike
52	2026/9/12	102[.]117[.]163[.]149	23889	Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU	MU	Mythic
53	2026/9/12	204[.]0[.]56[.]147	214432	ZLIDC - Zhilian Technology CO., LTD., GB	US	Mythic
54	2026/9/12	45[.]192[.]169[.]57	138995	ANTBOX1-AS-AP - Antbox Networks Limited, HK	SC	Mythic
55	2026/9/12	159[.]194[.]232[.]217	198610	BEGET-AS - Beget LLC, RU	RU	sliver, Mythic

Special Thanks

この調査はCensys社のResearch Accessによって実施されました。
ご支援に深く感謝いたします。

docs.censys.com

Hunting for enemy infrastructure in Japan

概要 / Overview

サマリ / Summary

C2種別内訳 / Type of C2 Servers Found

詳細データ / Aggregate Data

This week's threat analysis

No.1 skeet infostealer

No.2 PHANTOM Stealer panel

No.3 Tripaul C2 Panel

Special Thanks

Hunting for enemy infrastructure in Japan

概要 / Overview

サマリ / Summary

C2種別内訳 / Type of C2 Servers Found

詳細データ / Aggregate Data

This week's threat analysis

No.1 Warlock Stealer Panel

No.2 C2 数据管理后台

No.3 Anti-detection redirection system Panel

No.4 Cobra Stealer

Special Thanks

Hunting for enemy infrastructure in Japan

概要 / Overview

サマリ / Summary

C2種別内訳 / Type of C2 Servers Found

詳細データ / Aggregate Data

This week's threat analysis

No.1 Coruna Exploit Kit hunting with Censys.

No.2 Coruna Admin Panel

No.3 DarkSword Admin Panel

No.4 suspicious open directory

No.x ARTEX — 自主渗透测试控制台

Special Thanks

Hunting for enemy infrastructure in Japan

概要 / Overview

サマリ / Summary

C2種別内訳 / Type of C2 Servers Found

詳細データ / Aggregate Data

Special Thanks

Hunting for enemy infrastructure in Japan

概要 / Overview

サマリ / Summary

C2種別内訳 / Type of C2 Servers Found

詳細データ / Aggregate Data

Special Thanks

初めに

手順

1. 仮想マシンの構築

2. Pythonのインストール

3. Microsoft Visual C++ 再頒布可能パッケージのインストール

4. CAPEsoloのインストール

5. スナップショットの作成

実行方法

English

Setup

1. Create a Virtual Machine

2. Install Python

3. Install the Microsoft Visual C++ Redistributable

4. Install CAPEsolo

5. Create a Snapshot

Running CAPEsolo

Hunting for enemy infrastructure in Japan

概要 / Overview

サマリ / Summary

C2種別内訳 / Type of C2 Servers Found

詳細データ / Aggregate Data

Special Thanks