揭开 Joker 的 C2 网络:Hunt 的 SSL 历史记录如何暴露其基础设施

NetSPI 发布 SQLC2 概念验证：用 SQL Server（含 Azure SQL）同时充当控制端与代理端实现 C2 通道，借助企业防火墙普遍放行 *.database.windows.net 1433 端口的特性伪装成正常数据库流量，支持远程执行命令并回收结果。

Hunt.io 通过 SpiceRAT 检测，将 Bitdefender SilkParasite 报告中跨恶意软件家族的共享基础设施，与中亚的能源、政府和电信目标关联起来。

新出现的 LightSpy 服务器(149.104.18.80)将命令列表扩展至 Facebook 与 Instagram 应用数据库文件,并配备 Windows 监控插件;Hunt.io 通过 TLS 证书追踪已识别 8 个活跃 IP,该监视框架仍在持续演变。

Hunt.io 解析 SSL 情报如何助力威胁狩猎：通过分析证书签发者、有效期与复用模式可关联恶意基础设施；KeyPlug/GhostWolf 与 Cyberhaven 案例中，历史证书数据帮助揭出 C2 服务器。

Hunt.io 借助 SSL 历史记录，用一张 TLS 证书将 Cyberhaven 扩展入侵事件的 C2 服务器与更广泛的脸书广告账号攻击活动关联起来，并揭示攻击者快速轮换的 Let's Encrypt 证书模式。

Hunt 在开放目录中发现多个 SpyNote 间谍软件样本，其伪装成 Google Translate、Temp Mail、Deutsche Postbank 等应用；文章解析了这款源码泄露的 Android 间谍软件如何窃取位置、短信与联系人数据。