Исследователи связали дополнительные узлы с инфраструктурой ROOFDECK
Исследование связало с задокументированной активностью TraderTraitor, которую приписывают КНДР, 13 наблюдаемых конечных точек. Авторы подчёркивают, что это перечень наблюдаемых и оценённых взаимосвязей, а не 13 независимо подтверждённых серверов управления ROOFDECK.
Для анализа использовали метаданные сертификатов, исторические данные DNS и отпечатки HTTP и TLS. Сведения об издателе сертификата, отпечатки JARM и TLS, характеристики ответов HTTP и поля субъекта сертификата подтверждают связи между некоторыми хостами. Пересечения сертификатов и доменов также связывают дополнительные конечные точки с опубликованными индикаторами вредоносного ПО.
Сертификат на 213.111.146.132 содержит имя commsouthindia[.]com, которое LayerZero указывает как домен управления ROOFDECK. При этом исследование не подтверждает, что во время инцидента этот IP-адрес обслуживал домен. IP-адрес 92.242.187.214 наблюдался под доменами tinklify[.]com и www.tinklify[.]com. В его сертификате указано имя arusupport-region1-webhook[.]online, URL-адрес, обнаруженный Zscaler в конфигурации FLATROOF. Сертификат на 185.66.91.112 содержит домен delay[.]servehttp[.]com, который Zscaler идентифицирует как домен управления ROOFDECK. Эти совпадения связывают инфраструктуру с задокументированными индикаторами вредоносного ПО, но не подтверждают, что каждый связанный хост был активным сервером управления.
ROOFDECK получает команды по HTTPS с пути /app_version и использует закреплённый сертификат TLS. Некоторые варианты вредоносного ПО обращаются к Pastebin или Nostr, чтобы получить актуальные адреса серверов управления. FLATROOF поддерживает Telegram и HTTP-вебхуки.
В полях сертификатов встречаются метки halid, yuli и ub, а также имя хоста, похожее на идентификатор виртуальной машины QEMU. Эти данные могут помочь сопоставить среды создания сертификатов, но сами по себе не доказывают атрибуцию. Исторические данные DNS и сканирование прямых IP-адресов могут выявить возможные серверы бэкенда, даже если домены указывают на Cloudflare.
Авторы отчёта рекомендуют отслеживать точные домены и IP-адреса, не прибегая к широким блокировкам общей инфраструктуры или доменов динамического DNS.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
