Сертификаты сервисов Hangro не проходят криптографическую проверку
Hangro, северокорейский продукт для VPN, электронной почты и чата в реальном времени, используют торговые представители. По сообщениям, его распространяют через посольство Северной Кореи в Шэньчжэне. Известная инфраструктура включает хосты в Северной Корее и России, а сервисы связаны с доменом hangro.net.kp. Иерархия сертификатов 2024 года, поддерживающая службы VPN и электронной почты Hangro, технически недействительна. Более новая иерархия на основе RSA, по имеющимся данным, стала операционной около июля 2026 года, однако её криптографическая валидность остаётся неизвестной.
Клиент Hangro и недействительная иерархия сертификатов
Клиент Hangro использует линейку SoftEther VPN. Его сетевой драйвер сохраняет аппаратный идентификатор NeoAdapter_VPN от SoftEther, хотя описание устройства изменено на «HangroVPN Adapter».
Исследователи изучили восемь EC-сертификатов, включая самоподписанный корневой сертификат. Ни одна из подписей не прошла верификацию по соответствующим ключам выпускающих центров и данным сертификатов. Один и тот же серверный сертификат и ключ обнаружили на хостах в Северной Корее и России.
TLS-рукопожатия на портах 465 и 7443 также завершались ошибкой bad signature. Это свидетельствует о том, что серверы не располагали закрытыми ключами, соответствующими предъявляемым ими сертификатам. Сертификаты охватывают службы SMTP, IMAP/POP и VPN. Их выпустил один и тот же внутренний центр сертификации в короткий промежуток времени.
Новая иерархия и распределение инфраструктуры
Более новая иерархия на основе RSA использует службу управления, которая слушает на порту 6006 на хосте в Северной Корее и на двух хостах в России. Порт 6008 открыт только на российских системах. Во всём развёртывании применяются один и тот же сертификат и отпечаток TLS.
В альтернативных именах субъекта сертификата перечислены несколько систем, включая внутренний адрес. Иерархия защищена с помощью взаимного TLS, однако корневой сертификат получить не удалось, поэтому её криптографическая валидность остаётся неизвестной.
В ходе расследования установили шесть китайских сетевых назначений, которые поддерживает China Unicom Liaoning. Через записи APNIC они связаны с контактом JM878-AP, использующим давно существующий адрес электронной почты silibank.com. Один из блоков настроен как конечная точка клиента Hangro. В отчёте эту китайскую связь рассматривают как ассоциацию инфраструктуры, а не как доказательство оперативного контроля.
Пассивный DNS выявил инфраструктуру, связанную с функциями VPN, SSH, DNS, NTP, баз данных и балансировки нагрузки. Большинство систем, по всей видимости, были неактивны или не имели отношения к расследуемой деятельности.
Почтовая инфраструктура и передача данных
Более широкая экосистема Hangro, вероятно, поддерживает коммуникации по схеме «сохранение и пересылка» (store-and-forward). Почтовые системы, связанные с инфраструктурой Северной Кореи, по имеющимся данным, поддерживают протокол ETRN и позволяют отправлять сообщения размером до 10 ГБ.
Эти характеристики указывают на возможность передачи больших объёмов данных по каналам с прерывистым доступом. Фактическую передачу полезной нагрузки непосредственно не наблюдали.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
