Censys State of the Internet Report 2025: Analyse der Time to Live von Bedrohungsinfrastrukturen

TTL von Cobalt Strike- und Viper-Servern

(firmenpresse) - Censys, einer der führenden Anbieter von Lösungen für Threat Intelligence, Threat Hunting und Attack Surface Management, untersucht in seinem diesjährigen Forschungsbericht die Infrastruktur von Cyberangriffen. Dabei wird mit der Lebensdauer (Time to Live, TLL) auch ein bisher selten erforschtes Konzept der Infrastruktur von Cyberangriffen näher beleuchtet. Für Security-Teams und Forscher ist es nützlich zu wissen, wie schnell Bedrohungsinfrastrukturen online bleiben, verschwinden oder sich bewegen.



Exemplarisch wurden in der Analyse Cobalt Strike und Viper untersucht. Dafür wurden die Internet-Scan-Daten von Censys aus April 2025 analysiert, um herauszufinden, wie lange bestimmte Dienste online sind, bevor sie verschwinden. Für die Malware-Server wurde die Lebensdauer in Tagen errechnet.



Die Analyse zeigt, dass sich Dienste von Cobalt Strike und Viper ganz unterschiedlich verhalten. Viper-Dienste etwa weisen eine TTL von 17,4 (Durchschnitt) bzw. 18,5 (Median) Tagen auf, bei Cobalt Strike beträgt die TTL 11,2 bzw. 5,0 Tage. Ein Grund für die deutlich kürzere TTL könnte darin liegen, dass Cobalt Strike bekannter und verbreiteter ist und dadurch ein breiteres Spektrum an Verhaltensweisen aufweist als Viper.



Für eine noch genauere Analyse wurden auch die beliebtesten Ports für Cobalt Strike- und Viper-Dienste untersucht. Dabei zeigt sich, dass sich die beliebtesten Ports innerhalb von Cobalt Strike und Viper in ihrer TTL unterscheiden. Bei Viper ist eine viel größere Bandbreite zu beobachten, die von durchschnittlich 6,8 Tagen bis zu 30 Tagen reicht. Dies zeigt, dass nicht nur bestimmte Malware-Familien und ihr Verhalten weiter untersucht werden müssen, sondern auch bestimmte Teilbereiche innerhalb dieser Familien.



Neben den Analysen zur Netzwerkverfügbarkeit beleuchtet die Untersuchung auch die Inhaltsaktivität der Malware. Dazu wurden Cobalt Strike-Server durch eine Analyse der beobachteten Wasserzeichen für 32-Bit-Kopien von Beacon untersucht. Einige Zahlen haben jeweils über 100 eindeutige Hosts mit diesem Wasserzeichen. In der Anzahl der eindeutigen IPs pro Wasserzeichen sind große Unterschiede erkennbar.





Die Untersuchung zeigt auch die zeitliche Veränderung in der Anzahl der Hosts mit einem bestimmten Wasserzeichen: Einige sind konstant vorhanden, bei anderen Wasserzeichen schwankt das Auftreten im zeitlichen Verlauf. Die Untersuchung ergab zudem 14 IPs mit mehr als einem Wasserzeichen. In einigen Fällen erfolgt der Wechsel innerhalb eines einzigen Tages.



Im Blogbeitrag erfahren Sie mehr über das konkrete Vorgehen der Censys-Forscher bei der Untersuchung: https://censys.com/blog/2025-state-of-the-internet-c2-time-to-liveWeitere Infos zu dieser Pressemeldung:

Themen in dieser Pressemitteilung:


Unternehmensinformation / Kurzprofil:
PresseKontakt / Agentur:
Bereitgestellt von Benutzer: Adenion
Datum: 03.09.2025 - 19:50 Uhr
Sprache: Deutsch
News-ID 2195303
Anzahl Zeichen: 3002

Kontakt-Informationen:
Ansprechpartner: Eugenia Kendrick
Stadt:

Ann Arbor

Telefon: +1-877-438-9159

Kategorie:

New Media & Software

Diese Pressemitteilung wurde bisher 316 mal aufgerufen.

Untersuchung von Censys: 6.502 Tankfüllstandsmesser in Tankstellen öffentlich über das Internet erreichbar ...
Mitte Mai hat CNN über einen Verdacht von US-Behörden berichtet. Demnach sollen Akteure, die mit dem Iran in Verbindung stehen, automatische Tankfüllstandsmesser (Automatic Tank Gauges, ATGs) an Tankstellen in den USA angegriffen haben. Dadurch konnten die Angreifer auf Geräte zugreifen, die üb

Censys untersucht im Internet exponierte Passwortmanager ...
Censys ARC, das Forschungsteam von Censys, hat die Internetpräsenz von fünf verschiedenen Passwortmanagern untersucht. Denn Passwortmanager speichern sensible Daten von Einzelpersonen, Unternehmen und anderen Organisationen. Wenn sie über das Internet öffentlich zugänglich sind, nicht vollstän

Censys schließt Partnerschaften für die Integration von Threat Intelligence-Daten in Security Operations ab ...
19. Mai 2026 - Censys, ein führender Anbieter im Bereich Internet Intelligence, Attack Surface Management und Threat Hunting, erweitert die Funktionen seiner Plattform für die Anwendung durch SOC-Teams. Dafür arbeitet das Unternehmen mit verschiedenen Partnern zusammen und hat neue Integrationen

Weitere Mitteilungen von Censys, Inc.TM

NoSQL-Datenbanken: Schlüsseltechnologie für E-Commerce und Industrie 4.0 ...
Die SHI GmbH aus Augsburg setzt verstärkt auf NoSQL-Technologien und macht damit sichtbar, wohin sich der Markt entwickelt: Weg von starren, rein relationalen Datenbanken hin zu flexiblen Lösungen, die große Datenmengen in Echtzeit bewältigen. Immer mehr Unternehmen brauchen Architekturen, die n

ASSIST Softwareübernimmt führende Rolle in 5-Millionen-Euro EU-Initiative für Cybersicherheit ...
Die ASSIST Software Group ist von der Europäischen Union mit der Koordination eines neuen Leuchtturmprojekts im Bereich Cybersicherheit beauftragt worden. Das Vorhaben ist mit rund 5 Millionen Euro dotiert und verfolgt das Ziel, Europas digitale Infrastrukturen besser vor wachsenden Bedrohungen aus

Neu: Dieüberarbeitete SignalShark Remote Unit – kompakt, flexibel, leistungsstark ...
Ab sofort ist eine überarbeitete Version der bewährten SignalShark Remote Unit von Narda bei Telemeter Electronic verfügbar – mit neuem, durchdachtem mechanischem Design und hohem Anpassungspotenzial für unterschiedlichste Anwendungen. Flexible Einbaumöglichkeiten dank modularem Aufbau Dank d

easy software in die Hall of Fame des BSI aufgenommen - Engagement für sichere E-Mail-Kommunikation ausgezeichnet ...
Essen, 03. September 2025 - Im Rahmen des vom Bundesamt für Sicherheit in der Informationstechnik (BSI) ausgerufenen E-Mail-Sicherheitsjahr 2025 wurde die easy software AG am 22. August 2025 in Berlin in die E-Mail Hall of Fame des BSI aufgenommen. Die Auszeichnung würdigt das Engagement von easy