Hunt.io 如何识别恶意基础设施

Hunt 梳理了 Gh0st 与 Pantegana 两款远控木马的现网基础设施：老牌 Gh0st 以响应包中的“Gh0st”标志识别，较新的 Pantegana 用自定义证书规避扫描；相关服务器分布于阿里云、腾讯云等服务商。

Hunt 发现 30 多台 ShadowPad 服务器使用伪装成 Dell “Data Vault” 的证书，梳理出两个疑似集群；文章说明为何紧盯非标准证书能发现常规特征容易遗漏的新基础设施。

RST Cloud 基于 Netlas 的 C2 追踪方法论：从目标定义、样本收集到指纹提取（JARM、证书、HTTP 标头），再到周期性搜索与多标准验证的七步闭环。

基础设施狩猎实战教程：以与 AsyncRAT 关联的 IP 为起点，经 ASN、端口、服务与 TLS 证书逐层 pivot，演示如何用 Hunt.io 把孤立线索扩展为对手 C2 集群全貌。

Hunt 通过 Geacon_Pro 默认的 “foren.zik” TLS 证书追踪这一 Golang 版 Cobalt Strike 实现，发现多个活跃服务器与开放目录，揭示其对 Linux 和 Windows 系统的持续威胁。

Hunt 宣布推出 C2 Feed 情报源：文章回顾其识别与追踪恶意 C2 服务器的方法，并说明该 feed 如何把相关情报打包提供给防御者，用于阻断攻击者基础设施。