131 хост Mythic был доступен из интернета

По состоянию на 11 сентября 2026 года из интернета были доступны 131 хост Mythic. На 115 из них в поле «Организация» сертификата указывалось «Mythic» или «Mythic C2», что свидетельствует об использовании конфигурации по умолчанию. Порт 7443 присутствовал на 99 хостах. Среди других обнаруженных портов были 80, 443, 8081, 9443 и 31337.

Возможности Mythic и характеристики хостов

Mythic, это модульный фреймворк управления с открытым исходным кодом. Его используют для санкционированных операций красных команд и для несанкционированного проникновения. Платформа предоставляет веб-интерфейс оператора, совместную работу нескольких операторов, доступ на основе ролей, интерактивное выполнение команд, передачу файлов и генерацию полезных нагрузок. Mythic поддерживает несколько агентов и профилей транспорта.

В числе поддерживаемых транспортных протоколов указаны HTTP/HTTPS, WebSockets, TCP, именованные каналы SMB и DNS. Возможности агентов могут включать регистрацию нажатий клавиш, создание скриншотов, имперсонацию токена, доступ к LSASS, перемещение внутри компании через SMB-пироты и цепочки SOCKS-прокси. Полезные нагрузки могут использовать обфускацию, джиттер сна и даты завершения работы.

Большинство идентифицированных систем работали под управлением Linux. Хостинг распределялся между облачными и VPS-провайдерами, включая DigitalOcean, AWS, Azure, Mauritius Telecom и другие компании.

Кластеры и связанные артефакты

Одна кластерная группа из трёх смежных хостов содержала Mythic, Sliver, Adaptix C2 и в одном случае Havoc. На всех хостах были идентичные наборы портов и сертификаты. Эти признаки указывают на общую лабораторную или учебную среду.

В отдельный кластер вошли четыре хоста, использовавшие только Mythic. Они имели общие характеристики TLS, веб-сервера, страницы входа и ключей SSH. В кластере применялся домен telemetry-update[.]services, подделывались HTTP-заголовки с имитацией работы CDN. Трафик агентов на порту 443 был отделён от доступа операторов на порту 7443.

Связанный с этим кластером публично доступный сервер промежуточного хранения содержал следующие артефакты:

• повторяющиеся сборки Windows-нагрузок с названием nyx;
• исходный код на Rust;
• архивы для второй семьи имплантов с названием fys2;
• файлы для промежуточного скачивания;
• диагностические инструменты Discord;
• скрипты стеганографии;
• материалы для тестирования шифрования ChaCha;
• утилиты для задания задач в Mythic.

Эти артефакты указывают на разработку кастомных имплантов, использование Discord в качестве C2, шифрованное или стеганографическое промежуточное хранение, а также интеграцию с Mythic.

Ориентиры для мониторинга

Защитники могут отслеживать следующие признаки:

• субъекты сертификатов Mythic;
• имена mTLS по умолчанию «operators» и «multiplayer»;
• открытый порт 7443;
• несанкционированные контейнеры Docker, включая mythic_nginx, mythic_rabbitmq и mythic_server.

Мониторинг хостов также должен охватывать подозрительное закрепление, внедрение кода в процессы и доступ к LSASS со стороны несистемных процессов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.