Обход ТСПУ через reverse-proxy: новые методы сокрытия C2-трафика

📋 Кратко

В 2026 году технологии reverse-proxy стали популярным инструментом для сокрытия командных серверов (C2) вредоносного ПО. Злоумышленники маскируют трафик под легитимные обращения к CDN-сетям, что затрудняет фильтрацию ТСПУ. В статье разбираются механизмы таких атак и методы их выявления.

⏱ 2 минуты чтения│сложность

В 2026 году системы ТСПУ остаются основным рубежом защиты российского сегмента интернета от вредоносного трафика. Однако злоумышленники активно применяют reverse-proxy, чтобы замаскировать командно-контрольные серверы (C2) под легитимные ресурсы. Reverse-proxy — это сервер-посредник, который принимает запросы от клиентов и перенаправляет их на внутренние серверы. В норме он используется для балансировки нагрузки и кэширования, но в руках злоумышленников становится инструментом сокрытия инфраструктуры.

Цифровой призрак reverse-proxy обходит защитный периметр ТСПУ
Цифровой призрак reverse-proxy обходит защитный периметр ТСПУ

🛠️ Как reverse-proxy помогает скрыть C2-трафик

Типичная схема: вредоносное ПО, установленное на машине жертвы, соединяется не напрямую с C2-сервером, а с легитимным CDN (например, Cloudflare, Akamai). CDN, используя reverse-proxy, направляет трафик на настоящий C2, который находится за ним. ТСПУ видит только запрос к домену CDN, который обычно не блокируется, так как используется тысячами легитимных сайтов. Таким образом, вредоносный трафик смешивается с легитимным, и фильтрация становится крайне сложной.

SNI-спуфинг маскирует C2-трафик под легитимный домен
SNI-спуфинг маскирует C2-трафик под легитимный домен

🔍 Основные методы маскировки

Злоумышленники применяют несколько техник:

DGA-алгоритм вращает домены, ускользая от блокировки ТСПУ
DGA-алгоритм вращает домены, ускользая от блокировки ТСПУ
  • SNI-спуфинг — в TLS-рукопожатии указывается домен доверенного сервиса, а не настоящий C2.
  • Использование бесплатных SSL-сертификатов (Let's Encrypt) для придания легитимности.
  • Динамическая смена доменов (DGA) с быстрой регистрацией новых имён.
  • UDP-туннелирование — упаковка трафика в протоколы поверх UDP; уязвимость CVE-2021-20322 позволяет обходить рандомизацию UDP-портов, усложняя выявление.

📊 Выявление reverse-proxy в C2-инфраструктуре

Обнаружение такого трафика требует продвинутых методов. Ключевые индикаторы:

SOC-аналитик выявляет C2-трафик по JA3-отпечаткам и heartbeat-паттернам
SOC-аналитик выявляет C2-трафик по JA3-отпечаткам и heartbeat-паттернам
  • Несоответствие между SNI в TLS-рукопожатии и фактическим IP-адресом назначения.
  • Аномально низкие задержки — reverse-proxy часто находится рядом с клиентом.
  • Повторяющиеся паттерны heartbeat-трафика (каждые N секунд).
  • JA3- и JA3S-отпечатки, нехарактерные для обычных браузеров.
Важно: Reverse-proxy — легитимная технология. Её использование злоумышленниками не должно вызывать панику, но требует настройки правил обнаружения в SIEM-системах и постоянного мониторинга.

🌍 Примеры из практики 2026 года

В июле 2026 года специалисты Таймвеб Cloud выявили аномалию: значительная часть трафика к серверам компании шла через reverse-proxy-серверы, не связанные с их собственной инфраструктурой. Анализ показал, что злоумышленники использовали CDN для проксирования C2-запросов, обходя фильтрацию ТСПУ. Ранее, в кампании HelloNet, вредоносные модули запускались через легитимную систему обновления ViPNet, что также указывает на тенденцию использования легитимных каналов для сокрытия вредоносной активности.

Таймвеб Cloud раскрыл C2-инфраструктуру за цепочкой reverse-proxy
Таймвеб Cloud раскрыл C2-инфраструктуру за цепочкой reverse-proxy

🛡️ Защита от злоупотребления reverse-proxy

Для организаций, работающих под надзором ТСПУ, рекомендуется:

Эшелонированная защита от C2-трафика через reverse-proxy
Эшелонированная защита от C2-трафика через reverse-proxy
  • Внедрить сетевые сенсоры, анализирующие TLS-рукопожатия на предмет подмены SNI.
  • Использовать списки репутаций CDN — не все CDN одинаково безопасны, некоторые предоставляют услуги без верификации.
  • Настроить поведенческий анализ трафика для выявления аномалий (частые подключения к одному IP-адресу CDN, нехарактерные для обычной работы).
  • Интегрировать SIEM-системы с источниками threat intelligence для оперативного обновления списков C2-инфраструктуры.
Признаки аномалии: если большая часть корпоративного трафика идёт на один IP-адрес CDN, это может быть признаком использования reverse-proxy для скрытия C2. Также стоит обращать внимание на сертификаты, выпущенные на домены, не соответствующие бренду компании.

В 2026 году reverse-proxy стал стандартным инструментом в арсенале киберпреступников, стремящихся обойти ТСПУ. Борьба с этим явлением требует постоянного совершенствования методов мониторинга, взаимодействия между провайдерами CDN и правоохранительными органами, а также обучения SOC-аналитиков новым векторам атак.

📚 Читайте также

📖 Термины

APT · DNS · Fingerprinting · SIEM · Туннелирование

🔗 Источники