发现 Oyster 后门基础设施的简单方法

Hunt.io 分析伪装成 AhnLab 安全软件的 MeDExt.dll（Latrodectus 下载器），并以 TLS 证书为支点发现更多 C2 服务器与分发域名；该后门可投递 Brute Ratel C4 等载荷。

Hunt 介绍其识别与追踪恶意 C2 服务器的方法：从 TLS 证书、HTTP 头、SSH 密钥到 JARM/JA4x 指纹与 TCP banner，并以 Gh0st、ShadowPad 及 Octopus C2 等案例加以说明。

文章演示如何用 Hunt 主动发现尚未曝光的恶意基础设施：以 Microsoft 关于 Flax Typhoon 报告中的证书 CN 为线索找到 4 台未被报告的 SoftEther VPN 服务器，并通过关键词搜索发现 Cobalt Strike 相关文件。

RST Cloud 基于 Netlas 的 C2 追踪方法论：从目标定义、样本收集到指纹提取（JARM、证书、HTTP 标头），再到周期性搜索与多标准验证的七步闭环。

主动威胁狩猎：用 favicon 哈希、HTTP 标头、TLS 证书字段与 JARM 等指纹识别 C2 服务器，并在 Netlas、Shodan、Censys 间枢轴关联，把防御前移到攻击部署之前。

Hunt.io 从运营者自己暴露的目录解析 Redis 挖矿僵尸网络日志：两轮共攻陷 3,562 台服务器，仅 rogue replication 可规模化，无认证目标成功率 72.6%。