🔍 Contexte

Article publié le 20 septembre 2026 sur le blog Synaptic Systems par Robin Dost. Il s’agit d’une mise à jour d’analyses antérieures (Nick Roy, janvier 2025) portant sur Hangro, le VPN et client mail d’État nord-coréen, utilisé par les représentants commerciaux nord-coréens à l’étranger (notamment en Chine).

🛠️ Produit analysé : Hangro

Hangro est un client VPN dérivé de SoftEther (hardware ID NeoAdapter_VPN non modifié), embarquant également un client mail (Postfix/Dovecot) et un système de chat en temps réel. Il est distribué via le consulat nord-coréen à Shenyang à 350 USD par poste. Le titre de fenêtre est HangroVPN - 안개 (brouillard).

🔐 Hiérarchie PKI 2024 : signatures toutes invalides

La hiérarchie 2024 (HBS2024 → isca2024 → hrra2024 → feuilles) présente une anomalie critique : aucune des huit signatures de la chaîne ne se vérifie, y compris le certificat racine auto-signé contre lui-même. Les clés publiques embarquées ne correspondent pas aux clés privées utilisées lors du handshake TLS. Le client Hangro ne vérifie pas les signatures de la chaîne et fait confiance aux certificats installés localement.

  • Ports 465 et 7443 : échec tls_process_key_exchange: bad signature
  • Port 6006 : handshake TLS 1.3 réussi (couche 2026)

🆕 Hiérarchie PKI 2026 : couche de gestion “KEVIN”

Une nouvelle hiérarchie est apparue vers juillet 2026 sur le port 6006, distincte de la chaîne 2024 :

  • Certificat racine : CN=KEVIN ROOT CA, C=KV (code pays non attribué ISO 3166-1)
  • Certificat serveur : CN=MANAGER SERVER, O=KEVIN, RSA 4096, SHA-256, valide 10 ans (2026-2036)
  • Un second certificat rudimentaire sur le port 6008 (X.509 v1, tous les champs DN = “kevin”) présent uniquement côté russe
  • Le SAN du certificat de gestion liste explicitement 5 adresses publiques (3 nord-coréennes, 2 russes) et une adresse RFC 6598 (100.100.100.170) révélant l’adressage interne

🌐 Infrastructure réseau

Côté nord-coréen :

  • 175.45.176.21, 175.45.176.22, 175.45.176.32

Côté russe (Khabarovsk, TTK-DV) :

  • 188.43.136.115, 188.43.136.116 (réseau KPOST-NET2, créé le 12 septembre 2017)
  • Liens avec les réseaux KPOST-NET (Hasan, frontière nord-coréenne) et SKYFREIGHT-NET (Vladivostok)

Côté chinois :

  • Cible par défaut du client : 218.25.43.212 (China Unicom AS4837, bloc 218.25.43.208/28)
  • Enregistré sous Changtongshuju / Liaoning Clear channel data Communication, Inc (CTD Communication, fondée 2001, Shenyang)
  • Contact APNIC : Jo Myong Chol, email postmaster@silibank.com (Silibank, banque nord-coréenne)
  • Six blocs réseau chinois liés à un même contact de registre

📋 Type d’article

Analyse technique de recherche indépendante, visant à documenter et étendre la connaissance publique de l’infrastructure Hangro, avec focus sur la PKI, les certificats TLS et les assignations réseau associées.

🧠 TTPs et IOCs détectés

TTP

  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
  • T1573.002 — Encrypted Channel: Asymmetric Cryptography (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Hangro (tool)
  • SoftEther VPN (tool)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

  • ⬜ blog.synapticsystems.de — source non référencée (0pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 12 IOCs dont des hashes (15pts)
  • ⬜ 0/7 IOCs confirmés externellement (0pts)
  • ✅ 3 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://blog.synapticsystems.de/north-koreas-hangro-revisited/