#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Hangro — это северокорейская платформа VPN, электронной почты и чатов, построенная на базе SoftEther, инфраструктура которой охватывает Северную Корею, Россию и, возможно, Китай. Иерархия сертификатов 2024 года была криптографически недействительной, тогда как в 2026 году появилось более новое развёртывание на основе RSA с использованием взаимного TLS. Связанные почтовые системы поддерживают передачу крупных объёмов сообщений по принципу «сохранить и переслать» (store-and-forward).
-----

Hangro — это северокорейский продукт для VPN, электронной почты и чата в реальном времени, используемый торговыми представителями и, по сообщениям, распространяемый через посольство Северной Кореи в Шэньчжэне. Известная инфраструктура включает хосты в Северной Корее и России, а сервисы связаны с доменом `hangro.net.kp`. Клиент использует линейку SoftEther VPN: его сетевой драйвер сохраняет аппаратный идентификатор `NeoAdapter_VPN` от SoftEther, хотя описание устройства было изменено на «HangroVPN Adapter».

Иерархия сертификатов 2024 года, поддерживающая службы VPN и электронной почты Hangro, технически недействительна. Было исследовано восемь EC-сертификатов, включая самоподписанный корневой сертификат, и ни одна из подписей не прошла верификацию по соответствующим ключам выпускающих центров и данным сертификатов. Один и тот же серверный сертификат и ключ были обнаружены на хостах в Северной Корее и России. Рукопожатия TLS на портах 465 и 7443 также завершались ошибкой `bad signature`, что свидетельствует о том, что серверы не располагали закрытыми ключами, соответствующими предъявляемым ими сертификатам. Сертификаты охватывают службы SMTP, IMAP/POP и VPN и были выпущены одним и тем же внутренним центром сертификации в короткий промежуток времени.

По имеющимся данным, более новая иерархия на основе RSA стала операционной около июля 2026 года. Её служба управления слушает на порту 6006 на хосте в Северной Корее и на двух хостах в России, при этом порт 6008 открыт только на российских системах. В рамках всего развёртывания используются один и тот же сертификат и отпечаток TLS, а в альтернативных именах субъекта (subject alternative names) сертификата перечислены несколько систем, включая внутренний адрес. Иерархия защищена с помощью взаимного TLS, однако корневой сертификат не был получен, поэтому её криптографическая валидность остаётся неизвестной.

В ходе расследования также было установлено шесть китайских сетевых назначений, поддерживаемых China Unicom Liaoning и связанных через записи APNIC с контактом `JM878-AP`, использующим давно существующий адрес электронной почты `silibank.com`. Один блок был настроен как конечная точка клиента Hangro. Пассивный DNS выявил инфраструктуру, связанную с функциями VPN, SSH, DNS, NTP, баз данных и балансировки нагрузки, хотя большинство систем, по всей видимости, были неактивны или не имели отношения к расследуемой деятельности. В отчете китайская связь рассматривается как ассоциация инфраструктуры, а не как доказательство оперативного контроля.

Более широкая экосистема Hangro, вероятно, поддерживает коммуникации по схеме «сохранение и пересылка» (store-and-forward). Почтовые системы, связанные с инфраструктурой Северной Кореи, по имеющимся данным, поддерживают протокол ETRN и позволяют отправлять сообщения размером до 10 ГБ, что указывает на возможность передачи больших объёмов данных по каналам с прерывистым доступом, однако фактическая передача полезной нагрузки непосредственно не наблюдалась.