Hunt.io 洞察:Gamaredon 的类 Flux 基础设施与近期 ShadowPad 活动观察

Hunt 发现 30 多台 ShadowPad 服务器使用伪装成 Dell “Data Vault” 的证书，梳理出两个疑似集群；文章说明为何紧盯非标准证书能发现常规特征容易遗漏的新基础设施。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

Hunt 在捷克一台暴露服务器上发现过时的 PlugX 生成器与控制端，含受害日志、加密数据文件，以及从尼泊尔政府实体注册域名下载文件的 VBA 脚本；相关发现已通报尼泊尔 CERT。

Hunt 追踪到 400 多个暴露的 Viper 登录页面：这款国产红队平台模块丰富，过半部署于腾讯云、常用默认端口 60000；文章给出检测思路，并提及 Sliver、Cobalt Strike 等相伴工具。

Hunt 分析 Golang 编写的 SparkRAT：该开源 RAT 在 GitHub 上有 400+ 分支，被 Microsoft、SentinelOne、AhnLab 等归因的活动所使用；文章介绍其默认 8000 端口、WebSocket/HTTP(S) 通信及登录页响应特征等检测方法。

Hunt 在搜寻 IOX 副本时发现一处开放目录，内含两个 SuperShell（即 GOREVERSE）载荷和一个 Linux ELF Cobalt Strike beacon；文章讲解了通过 /supershell/login 特征识别其 C2 面板的方法。