Очередное исследование про поиск инфраструктуры злоумышленников 😂, и почему нужно разбираться в используемых С2.

Sliver использует по умолчанию одинаковые порты:

443 - Связь по https с имплантом
80 - связь по http с имплантом
8080 - связь по http с имплантом
8888 - связь по http с имплантом
🔤 31337 - порт многопользовательского сервера C&C
🔤 1337 - порт многопользовательского сервера C&C

Информация в сертификате тоже не изменяется:

ssl:"CN=operators" ssl:"CN=multiplayer"

services.tls.ja3s: 475c9302dc42b2751db9edcac3b74891 AND services.tls.certificates.leaf_data.subject_dn="CN=multiplayer"

#notes@detectioneasy
#ttp@detectioneasy