通过非标准证书追踪 ShadowPad 基础设施

Hunt 介绍其识别与追踪恶意 C2 服务器的方法：从 TLS 证书、HTTP 头、SSH 密钥到 JARM/JA4x 指纹与 TCP banner，并以 Gh0st、ShadowPad 及 Octopus C2 等案例加以说明。

Hunt 梳理了 Gh0st 与 Pantegana 两款远控木马的现网基础设施：老牌 Gh0st 以响应包中的“Gh0st”标志识别，较新的 Pantegana 用自定义证书规避扫描；相关服务器分布于阿里云、腾讯云等服务商。

Hunt 通过 Geacon_Pro 默认的 “foren.zik” TLS 证书追踪这一 Golang 版 Cobalt Strike 实现，发现多个活跃服务器与开放目录，揭示其对 Linux 和 Windows 系统的持续威胁。

Hunt 宣布推出 C2 Feed 情报源：文章回顾其识别与追踪恶意 C2 服务器的方法，并说明该 feed 如何把相关情报打包提供给防御者，用于阻断攻击者基础设施。

文章演示如何用 Hunt 主动发现尚未曝光的恶意基础设施：以 Microsoft 关于 Flax Typhoon 报告中的证书 CN 为线索找到 4 台未被报告的 SoftEther VPN 服务器，并通过关键词搜索发现 Cobalt Strike 相关文件。

文章阐述开放目录如何助力威胁狩猎与事件响应：暴露的 C2 可执行文件、配置、bash 历史与 RAT 日志有助于识别受害者；文中亦介绍 Hunt 在自动发现、打标及按 SHA-256 跨目录检索方面的能力。