A Hunt.io friss elemzése szerint Kelet-Európa 2026 tavaszán is meghatározó bázisa maradt a rosszindulatú digitális infrastruktúrának. A vizsgált három hónapban több mint 3900 aktív C2-szervert azonosítottak, 302 különböző szolgáltató környezetében. A kép azonban nem csak a mennyiség miatt figyelemre méltó, hanem azért is, mert az aktivitás rendkívül erősen koncentrálódik.
Frissítés: A Hunt.io szerkesztősége korrigálta a bolgár Friendhosting LTD-re vonatkozó eredeti megállapításokat. A szolgáltató saját auditja szerint a gyanús fiókok valójában forgalomelosztó (traffic distribution) rendszereket, elsősorban Keitaro telepítéseket futtattak, nem pedig azonosítható C2 infrastruktúrát, ezért a korábbi “2100 C2-szerver, 53,5 százalék” állítás nem tartható. A Hunt.io hangsúlyozta: a nyers számadatok nem változtak, csak azok leírása.
A Hunt.io elismerte, hogy az eredeti cikk nem tett kellő különbséget egy eszköz jelenléte és annak tényleges rosszindulatú felhasználása között, mivel minden vizsgált szoftvernek lehet legitim, nem kívánt és rosszindulatú felhasználási módja is a kontextustól függően. Emiatt a “C2” kifejezést “fenyegetéstámogató” (threat activity enabling), a “rosszindulatú” jelzőt “potenciálisan rosszindulatú”-ra cserélték a teljes cikkben, és köszönetet mondtak Pavlónak (Friendhosting LTD) és Tom Springnek (Security Point Break) az észrevételekért.
Az egyik legfontosabb állítás, hogy a hagyományos indikátorok, mint például az IP címek vagy domainek gyorsan cserélődnek, miközben a mögöttes hostingréteg megmarad. Ezért a Hunt.io elsősorban nem egyedi IOC-k, hanem szolgáltatói, országos és infrastruktúra-szintű mintázatok felől közelítette meg a kérdést, és tíz kelet-európai ország (Belarusz, Bulgária, Csehország, Magyarország, Lengyelország, Moldova, Románia, Oroszország, Szlovákia és Ukrajna) környezetét vizsgálta 2026. március 12. és június 12. között.
A fenyegetéstámogató infrastruktúra eloszlása nem egyenletes. A 4331 összesített detekcióból 3923 volt fenyegetéstámogató szerver, vagyis az észlelt aktivitás körülbelül 90,6 százalékát ez a kategória tette ki, míg a fennmaradó részt IOC Hunter bejegyzések (3,4%), nyitott könyvtárak (2,6%), phishing oldalak (2,1%) és nyilvánosan riportált IOC-k (1,4%) alkották. Ez azt jelenti, hogy a régió hostingkörnyezeteit a megfigyelt időszakban döntően nem alkalmi visszaélésekre vagy adathalász oldalak kiszolgálására használták, hanem vezérlési és műveleti háttérrétegként.
A malware családok szerinti bontásban a Keitaro emelkedett ki 1277 egyedi, fenyegetéstámogató IP-vel. A cikk ezt a kereskedelmi forgalomelosztó rendszer visszaélésszerű használatával kapcsolja össze, különösen malvertising, redirect, phishing és exploit kit műveletek esetében – fontos azonban, hogy a Keitaro jelenléte önmagában nem jelenti C2-infrastruktúra meglétét, csak a szoftver telepítettségét. A második helyen a Tactical RMM szerepelt 232 detekcióval, míg az Acunetix 173, a Gophish pedig 122 kapcsolódó IP-vel jelent meg az adathalmazban.
Továbbra is aktívak a régióban az IoT botnetek is, köztük a Hajime, a Mozi és a Mirai. Emellett a Cobalt Strike és a Sliver jelenléte arra utal, hogy ugyanabban az infrastruktúra-rétegben jelen lehet a tömeges kiberbűnözés és a kifinomultabb, post-exploitation fókuszú műveleti háttér is.
A funkcionális bontás érdekes eredményt hozott. A “Management” kategória 1496 egyedi IP-vel vezetett, jóval megelőzve a szűken vett “fenyegetéstámogató” (threat activity enabling) rendszereket, amelyekből 428-at találtak. A “Red Team Tools” kategória 234, a “Phishing” 124, a “Team Server” pedig 12 IP-vel szerepelt az összesítésben. Ez a megoszlás arra utal, hogy a támadói infrastruktúra valójában egy többrétegű szolgáltatási ökoszisztéma, amelyben a klasszikus vezérlőszerverek mellett jelentős szerepet kapnak a menedzsmenteszközök és adminisztrációs panelek.
Országszinten Oroszország végzett az első helyen 929 egyedi, malware-hez kapcsolt IP-vel, ami több mint 150 megjelenő orosz ASN miatt inkább széles szolgáltatói bázisról, mintsem egyetlen kiugró szereplőről árulkodik. A második helyen Lengyelország állt 438 IP-vel, ami azért figyelemre méltó, mert a top szolgáltatók között nem jelent meg hasonlóan domináns lengyel szereplő, tehát a lengyel érintettség sok kisebb és közepes szolgáltató között oszlik meg. Bulgária 298, Románia 199, Ukrajna pedig 170 IP-vel szerepelt a felső mezőnyben.
A Hunt.io példákat is hoz Cloud Atlas APT-hez kötött infrastruktúrára, FreePBX toll-fraud kampányokra, rosszindulatú npm-csomaggal terjesztett minirat műveletre, Nemesys ransomware-hez kapcsolódó aktivitásra, Black Basta affiliate kampányra, valamint Gremlin Stealer exfiltrációs szerverre is. Külön figyelmet kapott a Proton66 OOO-hoz kötött 176.120.22[.]24 IP-cím, amelyet a cikk az Oracle PeopleSoft Enterprise PeopleTools 8.61 és 8.62 verzióit érintő CVE-2026-35273 sérülékenység aktív kihasználásához kapcsol. A forrás a kampányt a Horizon3.ai a ShinyHunters csoportnak tulajdonította, és a művelet 2026. május 27. és június 9. között körülbelül 300 PeopleSoft példányt érintett több mint 100 szervezetnél, köztük egyetemeknél is.
A kelet-európai adatbázis alapján tehát nem egyszerűen arról van szó, hogy sok a rosszindulatú szerver a régióban. A hangsúly inkább azon van, hogy ezek jelentős része jól felismerhető szolgáltatói és országos mintázatok köré szerveződik, ami a védelem számára skálázhatóbb és tartósabb fókuszpontot adhat. A Friendhosting-eset pedig arra is emlékeztet, hogy egy eszköz (pl. Keitaro) puszta jelenléte egy hostingszolgáltatónál nem egyenlő a tényleges rosszindulatú felhasználás bizonyítékával.