Незащитен TLS сертификат разкрива VPN инфраструктурата Hangro на Северна Корея в две държави

Платформата Hangro на Северна Корея разкри необичайно детайлен поглед върху инфраструктура, използвана за свързване на длъжностни лица и търговски представители в чужбина със системи вътре в страната.

Новооткрит TLS сертификат посочва сървъри в Северна Корея и Русия, заедно с вътрешен адрес, който не би трябвало да се появява в публично достъпен сертификат.

Hangro не е зловреден софтуер или конвенционален инструмент за кибератаки. Това е свързан с държавата VPN клиент, който включва също функции за електронна поща и чат в реално време, за които се съобщава, че са предназначени за севернокорейски служители извън страната.

Неговите сървъри предоставят рядка техническа следа за това как потребителите в чужбина могат да достигат до вътрешни услуги, за разлика от севернокорейските кампании с фалшиви работници, които обикновено разчитат на открадната самоличност и комерсиални инструменти за отдалечен достъп.

Malwarebox идентифицира изложените данни от сертификата, докато преглеждаше по-нов слой за управление, внедрен около юли 2026 г.

Malwarebox заявява в доклад, споделен с Cyber Security News (CSN), че констатацията свързва съвпадаща повърхност на услугата в Пхенян с хостове в Далечния изток на Русия, като същевременно разкрива и по-стара инфраструктура в китайското адресно пространство.

Откритието не доказва, че платформата е била използвана в конкретна кампания за проникване. То обаче показва, че грешки в сертификатите, слабо управление на ключове и изложени мрежови метаданни могат да разкрият чувствителна инфраструктура, дори когато операторите се опитват да ограничат достъпа чрез клиентски сертификати и необичайни мрежови портове.

Неизправен TLS сертификат разкрива VPN инфраструктурата Hangro на Северна Корея в две държави

Сертификатът, представен на порт 6006, изброява пет публични адреса: три в Северна Корея и два в Русия. Той включва също 100.100.100.170 – адрес от адресното пространство carrier-grade NAT, който не е публично маршрутизируем. Публикуването му на практика разкрива част от вътрешния адресен план на внедряването.

Същият сертификат за управление е наблюдаван на 175.45.176.21 в Пхенян и на двете руски системи – 188.43.136.115 и 188.43.136.116.

Съвпадащият сертификат, излагането на услугата и изискването за взаимен TLS (mTLS) сочат към съвместно администрирана среда, въпреки че докладът не стига до твърдение за доказателство за централна система за управление.

Този тип повторно използване на сертификати може да бъде ценен за защитниците. Както бе наблюдавано в по-ранни доклади за инфраструктура на КНДР, свързана със сертификати, повторно използваният сертификат може да позволи на изследователите да групират сървъри, които иначе биха изглеждали несвързани, и да ги наблюдават за промени.

По-новата услуга изглежда по-внимателно изградена от по-стария VPN и пощенски слой на Hangro. Порт 6006 завършва TLS 1.3 ръкостискане и изисква клиентски сертификат, докато услугите на портове 465 и 7443 връщат грешка за невалиден подпис. Този неуспех показва, че по-старите сървъри не са притежавали частни ключове, съответстващи на сертификатите, които са представили.

Компрометирани ключове и достъп от чужбина

Изследователите са установили, че всеки подпис във веригата от сертификати на Hangro от 2024 г. е неуспешен при проверка, включително кореновият сертификат спрямо самия себе си.

Най-вероятното обяснение е, че използваните частни ключове не съвпадат с публичните ключове, вградени в сертификатите, въпреки че Malwarebox отбелязва, че потвърждаването на причината би изисквало достъп до средата за подписване.

Тази слабост е от значение, тъй като се съобщава, че клиентът Hangro се доверява на сертификати, инсталирани със софтуера, вместо правилно да валидира тяхната верига от подписи.

В практически план платформата може да продължи да работи въпреки конфигурацията на сертификатите, която нормалните браузъри, пощенски клиенти и много продукти за сигурност биха отхвърлили.

Докладът също така разглежда отново китайска крайна точка, конфигурирана в клиентите на Hangro – 218.25.43.212. Нейната мрежова регистрация посочва технически контакт с имейл адрес на Silibank, като свързаните адресни назначения са обвързани със същия запис.

Доказателствата подкрепят свързана с КНДР връзка в китайското адресно пространство, а не собственост върху китайски мрежи от страна на Северна Корея.

Организациите, наблюдаващи дейност, свързана с държавни структури, трябва да проследяват изложените адреси, хешове на сертификати, необичайни TLS портове и свързани домейни.

Анализаторите също така трябва да избягват третирането на единичен контакт в регистъра като самостоятелна атрибуция – сдържаност, която остава важна при изследване на модулната киберекосистема на КНДР или инфраструктурата, споделена с легитимни доставчици.

За мрежовите защитници непосредствената препоръка е да генерират предупреждения за връзки към изброените системи, да проверяват TLS сертификатите на портове 6006 и 6008 и да разследват неочакван трафик, включващ хост имена, свързани с Hangro.

Прозрачността на сертификатите (Certificate Transparency), пасивният DNS и снемането на цифрови отпечатъци от ръкостискането (handshake fingerprinting) могат да помогнат за идентифицирането на нови възли, ако операторите преместят или разширят услугата.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или хипервръзки. Възстановявайте ги само в контролирани платформи за анализ на киберзаплахи (Threat Intelligence), като например MISP, VirusTotal или вашата SIEM система.