Actores de amenazas vinculados a infraestructura de hosting china han establecido una red masiva de más de 18.000 servidores de comando y control (C2) activos en 48 proveedores de hosting diferentes en los últimos meses.

Este abuso generalizado destaca un problema grave en cómo la infraestructura maliciosa puede ocultarse dentro de redes y servicios en la nube confiables.

Los métodos tradicionales de caza de amenazas, que se centran en direcciones IP o nombres de dominio individuales, a menudo pierden la imagen completa porque los atacantes cambian constantemente estos indicadores para evitar la detección.

La investigación revela que estos servidores C2 representan alrededor del 84% de toda la actividad maliciosa observada en entornos de hosting chinos durante el período de análisis de tres meses.

La infraestructura de phishing representa alrededor del 13%, mientras que los directorios abiertos maliciosos y los indicadores públicos de compromiso juntos representan menos del 4% de las amenazas detectadas.

Esto demuestra que las operaciones de comando y control dominan el panorama de amenazas, con atacantes que prefieren infraestructuras estables capaces de coordinar campañas en curso en múltiples objetivos.

Los analistas de Hunt.io identificaron esta extensa red de infraestructura utilizando su plataforma Host Radar, que combina detección de C2, identificación de phishing, escaneo de directorios abiertos y extracción de indicadores en un único sistema de inteligencia.

En lugar de tratar cada artefacto malicioso como algo aislado, la plataforma mapea estas amenazas de vuelta a los proveedores de hosting y operadores de red donde existen. Este enfoque revela patrones de abuso a largo plazo incluso cuando las direcciones IP individuales cambian con frecuencia.

China Unicom emergió como el mayor anfitrión de infraestructura maliciosa, representando casi la mitad de todos los servidores C2 observados con aproximadamente 9.000 detecciones.

Alibaba Cloud y Tencent alojaron cada uno alrededor de 3.300 servidores C2, lo que demuestra que las principales plataformas en la nube son muy atacadas por actores de amenazas que valoran su aprovisionamiento rápido y alta disponibilidad.

Estos tres proveedores por sí solos representan la mayoría de la infraestructura de comando y control maliciosa detectada dentro de China.

Concentración de infraestructura y distribución de malware

Las familias de malware que operan a través de esta infraestructura muestran patrones claros de abuso repetido de frameworks. La botnet Mozi domina con 9.427 direcciones IP únicas de C2, representando más de la mitad de toda la actividad de comando y control observada.

El framework ARL sigue con 2.878 endpoints de C2, lo que sugiere un uso extensivo de herramientas de post-explotación y red team con fines maliciosos.

Cobalt Strike aparece con 1.204 detecciones, mientras que Vshell y Mirai completan el top cinco con 830 y 703 servidores C2, respectivamente.

Esta concentración significa que los defensores pueden enfocar sus esfuerzos de monitoreo en patrones de infraestructura compartida en lugar de perseguir variantes individuales de malware que evolucionan constantemente.

Los datos muestran que las operaciones de cibercrimen, la infraestructura de botnets y las herramientas de espionaje vinculadas a estados coexisten dentro de los mismos entornos de hosting.

Campañas que van desde troyanos de acceso remoto comunes hasta operaciones APT sofisticadas aprovechan estos proveedores, creando un ecosistema de amenazas complejo donde las defensas basadas en indicadores tradicionales luchan por mantener su efectividad.