Lazarus Group TraderTraitor : cartographie de 13 endpoints C2 via certificats TLS partagés
🔍 Contexte Publié le 7 novembre 2026 par Michael Koczwara (IntelOps) sur Substack (TLP:CLEAR), cet article présente une investigation technique de threat intelligence visant à cartographier l’infrastructure C2 du groupe TraderTraitor (Lazarus Group / UNC4899), en partant de deux C2 ROOFDECK documentés par SentinelOne. 🧩 Méthode de pivot La recherche a débuté avec deux paires IP/domaine identifiées comme C2 ROOFDECK : 85.137.56.245 — grenight.com 45.11.59.140 — storage.hubpage.cloud Le pivot principal repose sur les métadonnées de certificats TLS générés avec mkcert, notamment : ...