Hunting for enemy infrastructure
概要 / Overview
本調査では、Censysの検索機能を用いて、全世界のインターネット上に展開されているC2（Command and Control）インフラストラクチャを網羅的に調査・分析しました。
調査期間（2026年7月20日〜7月26日）において、グローバルで合計41件のC2サーバーを特定しました。本調査では、Cobalt Strike をはじめ、SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant といった多岐にわたるC2フレームワークを監視対象としており、攻撃者が利用するインフラの最新の分布状況を可視化しています。
In this report, we utilized Censys's advanced search capabilities to conduct a comprehensive analysis of Command and Control (C2) infrastructure exposed across the global internet.
During the reporting period (July 20 – July 26, 2026), we identified a total of 41 C2 servers deployed worldwide. Our monitoring scope encompasses a diverse array of frameworks—including Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, and NimPlant—providing visibility into the current distribution of adversary infrastructure on a global scale.
サマリ / Summary
調査期間 / Period: 2026/07/20 – 2026/07/26
総検出件数 / Total Detections: 41 IPs
監視対象フレームワーク / Tracked Frameworks: Cobalt Strike, SuperShell, Mythic, Sliver, Havoc, Empire, NimPlant, etc.
C2種別内訳 / Type of C2 Servers Found
| C2 | Count |
|---|---|
| Mythic | 14 |
| sliver | 9 |
| SuperShell | 9 |
| Empire | 4 |
| Havoc | 3 |
| Cobalt Strike | 1 |
| Havoc, Mythic | 1 |
詳細データ / Aggregate Data
| No | Date | IP | Autonomous System Number | Autonomous System Label | Country | C2 |
|---|---|---|---|---|---|---|
| 1 | 7月20日 | 66[.]42[.]49[.]168 | 20473 | AS-VULTR - The Constant Company, LLC, US | US | Mythic |
| 2 | 7月20日 | 143[.]198[.]125[.]30 | 14061 | DIGITALOCEAN-ASN - DigitalOcean, LLC, US | US | sliver |
| 3 | 7月20日 | 162[.]254[.]35[.]170 | 22612 | NAMECHEAP-NET - Namecheap, Inc., US | US | sliver |
| 4 | 7月20日 | 193[.]161[.]193[.]99 | 198134 | GETWIFI-AS - OOO GETWIFI, RU | RU | Empire |
| 5 | 7月21日 | 35[.]90[.]23[.]90 | 16509 | AMAZON-02 - Amazon.com, Inc., US | US | Cobalt Strike |
| 6 | 7月21日 | 156[.]227[.]232[.]98 | 138152 | YISUCLOUDLTD-HK - YISU CLOUD LTD, HK | SC | SuperShell |
| 7 | 7月21日 | 102[.]117[.]171[.]29 | 23889 | Mauritius Telecom Ltd - Mauritius Telecom Ltd, MU | MU | Mythic |
| 8 | 7月21日 | 103[.]185[.]249[.]13 | 401696 | COGNETCLOUD - cognetcloud INC, US | HK | Mythic |
| 9 | 7月21日 | 175[.]43[.]223[.]202 | 4837 | CHINA169-Backbone - CHINA UNICOM China169 Backbone, CN | CN | Mythic |
| 10 | 7月21日 | 45[.]63[.]78[.]27 | 20473 | AS-VULTR - The Constant Company, LLC, US | US | Mythic |
| 11 | 7月21日 | 45[.]76[.]190[.]68 | 20473 | AS-VULTR - The Constant Company, LLC, US | US | Mythic |
| 12 | 7月21日 | 195[.]200[.]28[.]173 | 216071 | VDSINA - SERVERS TECH FZCO, AE | AE | sliver |
| 13 | 7月22日 | 156[.]239[.]47[.]139 | 400619 | AROSS-AS - AROSSCLOUD INC., US | SC | SuperShell |
| 14 | 7月22日 | 43[.]240[.]12[.]128 | 133731 | CLOUDIE-AS-AP - Cloudie Limited, HK | HK | SuperShell |
| 15 | 7月22日 | 189[.]141[.]45[.]95 | 8151 | AS8151 - UNINET, MX | MX | Mythic |
| 16 | 7月22日 | 77[.]72[.]85[.]62 | 62005 | BV-EU-AS - BlueVPS OU, EE | EE | Mythic |
| 17 | 7月22日 | 101[.]37[.]167[.]192 | 37963 | ALIBABA-CN-NET - Hangzhou Alibaba Advertising Co.,Ltd., CN | CN | sliver |
| 18 | 7月22日 | 172[.]239[.]45[.]42 | 63949 | AKAMAI-LINODE-AP - Akamai Connected Cloud, SG | US | Havoc |
| 19 | 7月22日 | 45[.]8[.]115[.]27 | 4785 | XTOM-AS-JP - xTom, JP | DE | Empire |
| 20 | 7月22日 | 54[.]237[.]232[.]180 | 14618 | AMAZON-AES - Amazon.com, Inc., US | US | Empire |
| 21 | 7月23日 | 103[.]244[.]149[.]133 | 135357 | PCCW22-HK - HONG KONG KOWLOON TELECOMMUNICATIONS CO.,LIMITED, HK | HK | SuperShell |
| 22 | 7月23日 | 206[.]238[.]68[.]123 | 399077 | TERAEXCH - Tcloudnet, US | US | SuperShell |
| 23 | 7月23日 | 151[.]243[.]101[.]44 | 21859 | ZEN-ECN - Zenlayer Inc, US | AE | Mythic |
| 24 | 7月23日 | 35[.]206[.]101[.]37 | 15169 43515 | US | Mythic | |
| 25 | 7月23日 | 199[.]217[.]98[.]55 | 399629 | BLNWX - BL Networks, US | US | sliver |
| 26 | 7月23日 | 207[.]180[.]205[.]54 | 51167 | CONTABO - Contabo GmbH, DE | DE | sliver |
| 27 | 7月23日 | 47[.]91[.]30[.]143 | 45102 | ALIBABA-CN-NET - Alibaba (US) Technology Co., Ltd., CN | US | sliver |
| 28 | 7月23日 | 101[.]33[.]76[.]127 | 132203 | TENCENT-NET-AP-CN - Tencent Building, Kejizhongyi Avenue, CN | SG | Havoc, Mythic |
| 29 | 7月23日 | 70[.]34[.]215[.]48 | 20473 | AS-VULTR - The Constant Company, LLC, US | US | Havoc |
| 30 | 7月24日 | 183[.]60[.]226[.]2 | 134763 | CT-DongGuan-IDC - CHINANET Guangdong province network, CN | CN | SuperShell |
| 31 | 7月24日 | 38[.]12[.]5[.]81 | 402169 | USCLOUD INC - Uscloud Inc, US | US | SuperShell |
| 32 | 7月24日 | 45[.]221[.]118[.]69 | 55933 | CLOUDIE-AS-AP - Cloudie Limited, HK | ZA | SuperShell |
| 33 | 7月24日 | 83[.]147[.]15[.]95 | 61112 | AkileCloud - AKILE LTD, GB | ES | SuperShell |
| 34 | 7月24日 | 189[.]249[.]193[.]61 | 8151 | AS8151 - UNINET, MX | MX | Mythic |
| 35 | 7月24日 | 38[.]60[.]220[.]51 | 154177 | LIGHT4-AS-AP - LIGHT NODE LIMITED, HK | US | Mythic |
| 36 | 7月24日 | 95[.]179[.]161[.]43 | 20473 | AS-VULTR - The Constant Company, LLC, US | US | Mythic |
| 37 | 7月24日 | 172[.]234[.]231[.]235 | 63949 | AKAMAI-LINODE-AP - Akamai Connected Cloud, SG | US | sliver |
| 38 | 7月24日 | 185[.]233[.]166[.]158 | 398256 | AS-ULTAHOST - Ultahost, Inc., US | DE | sliver |
| 39 | 7月24日 | 51[.]161[.]0[.]22 | 16276 | OVH - OVH SAS, FR | CA | Havoc |
| 40 | 7月25日 | 4[.]232[.]66[.]23 | 8075 | MICROSOFT-CORP-MSN-AS-BLOCK - Microsoft Corporation, US | US | Mythic |
| 41 | 7月25日 | 167[.]233[.]23[.]167 | 24940 | HETZNER-AS - Hetzner Online GmbH, DE | DE | Empire |
This week's threat analysis
No.1 20[.]214[.]200[.]147 751 Stealer
Censys Query
host.services.endpoints.http.html_title = "751 Stealer | "
2026年7月20日時点では、2IP確認できます。
No.2
DRAZY V3 - Best Info Stealer
host.services.endpoints.http.html_title = "DRAZY V3 - Best Info Stealer"
No.3
MeowProject
スタートは上記の記事で下記IPをCensysで検索するしたことから始まりました。
185[.]177[.]72[.]138
HTTPサービスのタイトルが「MeowProject」と特徴的だったため、html_titleでシンプルな検索クエリを作成して、他にもあるか試してみました。
host.services.endpoints.http.html_title = "MeowProject"
33のホストがヒットしました。
どのホストもオープンポートが22,123,8080という共通点がありました。
次にsshでピポットできるか試みました。
検索クエリは下記になります。
host.services.ssh.server_host_key.fingerprint_sha256 = "e72f7348ecb8fd5e08fd138d8d7393080a65d197e5b1b7a7102c28f63aea2d8e"
26のホストがヒットしました。
この結果からこれらのインフラストラクチャーは同じSSH設定を使用していることが示唆されます。
現在のインフラストラクチャーの詳細はまだ分かっていないので、引き続き調査をする予定です。
参考
MeowProjectのログインページ
Special Thanks
この調査はCensys社のResearch Accessによって実施されました。
ご支援に深く感謝いたします。
