🔍 Contexte

Publié le 7 novembre 2026 par Michael Koczwara (IntelOps) sur Substack (TLP:CLEAR), cet article présente une investigation technique de threat intelligence visant à cartographier l’infrastructure C2 du groupe TraderTraitor (Lazarus Group / UNC4899), en partant de deux C2 ROOFDECK documentés par SentinelOne.

🧩 Méthode de pivot

La recherche a débuté avec deux paires IP/domaine identifiées comme C2 ROOFDECK :

  • 85.137.56.245 — grenight.com
  • 45.11.59.140 — storage.hubpage.cloud

Le pivot principal repose sur les métadonnées de certificats TLS générés avec mkcert, notamment :

  • L’Issuer CN : mkcert ub@ub-Standard-PC-Q35-ICH9-2009
  • L’Authority Key Identifier (AKI) : 3E:02:A4:25:99:ED:C3:8D:35:2D:E7:BA:E5:99:CB:FA:07:DD:ED:EF
  • Les Subject OU révélant des noms de comptes : halid, yuli, ub

Ces éléments partagés ont permis d’identifier 13 endpoints distincts présentant des certificats serveur différents mais issus de la même CA.

🖥️ Fingerprinting et corrélation

Deux endpoints (85.137.56.245 et 213.111.148.242) ont été comparés en détail :

  • JARM identique : 21d19d00021d21d00042d43d0000005ad20eceaf7f71ae0887d2ff117bf97f
  • JA3S, JA4S, JA4X identiques
  • Réponse HTTP identique : HTTP/1.1 404 Not Found, Content-Type: application/json, Content-Length: 22, corps {"detail":"Not Found"}
  • Hashes de headers et body identiques
  • SSH port 22 exposé, Ubuntu/OpenSSH, reverse-DNS dedicated.vsys.host

🔗 Liens avec des rapports publics

  • 213.111.146.132 : certificat contenant commsouthindia.com, listé par LayerZero comme C2 ROOFDECK (incident KelpDAO, avril 2026)
  • 92.242.187.214 : enregistré sous tinklify.com, certificat contenant arusupport-region1-webhook.online, identifié par Zscaler comme C2 FLATROOF
  • 185.66.91.112 : certificat contenant delay.servehttp.com, listé par Zscaler comme C2 ROOFDECK
  • 213.111.148.202 : lié à caiai.net (Martin’s Blog) ; io.caiai.net listé par LayerZero comme C2 FLATROOF

🕵️ OPSEC failure — indices sur les environnements

Les Subject OU des certificats révèlent des noms de machines :

  • halid@halid-Raider-GE78-HX-14VIG et yuli@Raider-GE78-HX-14VIG → correspondant au modèle laptop gaming MSI Raider GE78 HX 14VIG
  • ub@ub-Standard-PC-Q35-ICH9-2009 → correspondant à la description machine QEMU Q35 + ICH9, 2009 (environnement virtuel)

Ces métadonnées exposées sur des serveurs publics constituent une fuite OPSEC permettant de corréler l’infrastructure.

📋 Infrastructure identifiée

13 adresses IP sur les ports 443 et 10443, hébergées dans plusieurs ASN distincts, avec des certificats générés entre juin 2025 et juillet 2026.

📌 Nature de l’article

Article de recherche technique en threat intelligence, visant à documenter et étendre la cartographie de l’infrastructure C2 de TraderTraitor via des techniques de pivoting sur certificats TLS et enregistrements historiques.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1587.003 — Develop Capabilities: Digital Certificates (Resource Development)
  • T1584 — Compromise Infrastructure (Resource Development)
  • T1102 — Web Service (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1573.002 — Encrypted Channel: Asymmetric Cryptography (Command and Control)
  • T1008 — Fallback Channels (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ROOFDECK (backdoor)
  • FLATROOF (backdoor)
  • mkcert (tool)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ⬜ michalkoczwara.substack.com — source non référencée (0pts)
  • ✅ 28866 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 37 IOCs dont des hashes (15pts)
  • ✅ 6/10 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Lazarus Group, TraderTraitor (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 85.137.56.245 (ip) → VT (10/92 détections)
  • 45.11.59.140 (ip) → VT (13/92 détections)
  • 213.111.148.242 (ip) → VT (6/92 détections)
  • grenight.com (domain) → VT (18/92 détections)
  • storage.hubpage.cloud (domain) → VT (19/92 détections)

🔗 Source originale : https://michalkoczwara.substack.com/p/tracking-lazarus-group-tradertraitor