解锁 SSL 情报:SSL 历史记录如何助力威胁狩猎

与 KeyPlug 恶意软件关联的服务器曝光不足 24 小时:泄露针对 Fortinet 防火墙与 VPN 的漏洞利用脚本、支持 AES/XOR 解密执行的 PHP webshell,以及针对资生堂(Shiseido)企业设施的侦察脚本;该设施与 RedGolf/APT41 存在重叠。

从一个被标记为 Joker 的壁纸类 APK 入手,研究者利用 SSL 证书历史梳理该安卓恶意软件的 C2 网络:定位到新加坡阿里云服务器,并通过复用证书发现更多关联域名与 IP,展示证书枢纽在长期追踪中的价值。

Hunt.io 以 wolfSSL 证书（'Support_1024' 字段）为线索，从既有 KEYPLUG 报告的 IP 中关联到 RedGolf/APT41（GhostWolf）基础设施的持续活动；并说明 WolfSSL 更新已使该指纹失效、团队改用其他方法追踪。

Hunt.io 发现使用 Cobalt Strike 4.10 的团队服务器：水印 688983459 全网仅另有 5 个 IP 使用；域名冒充知名品牌，疑似用于钓鱼攻击。

Hunt.io 扩展追踪 Gen Threat Labs 标记的 WarmCookie C2 服务器：借助证书历史、HTTP 响应模式与共享 SSH 密钥，关联出更多与新版后门相关的主机。

Hunt.io 分析伪装成 AhnLab 安全软件的 MeDExt.dll（Latrodectus 下载器），并以 TLS 证书为支点发现更多 C2 服务器与分发域名；该后门可投递 Brute Ratel C4 等载荷。