FOFA资产拓线实战系列：COLDRIVER
内容提要
COLDRIVER，一个俄罗斯威胁组织，通过凭证钓鱼攻击了非政府组织、前情报和军事官员以及北约政府的知名人士。最近的活动通过线索和FOFA平台被追踪，导致发现了两个高度可疑的IP地址。在新发现的IOC中没有发现未知资产。
延伸解读
FOFA拓线方法解析
文章展示了如何利用FOFA平台进行资产拓线：从已知C2地址的端口、TLS banner和证书信息出发，通过组合搜索条件逐步缩小范围。具体使用了banner="\x15\x03\x03\x00\x02\x022"、port="3000"和cert="Internet Widgits Pty Ltd"等语法，最终碰撞出3个可疑IP。这种方法强调多维度信息关联，但需注意误报，需进一步验证。
可疑IP的验证与局限
文章发现的两个新IP（95.164.17.94:3000和89.19.211.240:3000）在微步、奇安信、VirusTotal等平台未发现相关情报或样本，仅凭证书和banner相似性判断为高可疑。这反映了资产拓线的局限性：缺乏样本验证时，只能作为线索，需持续监测。读者应理解这种不确定性，避免直接将其视为确凿IOC。
证书默认值的线索价值
证书组织名'Internet Widgits Pty Ltd'是OpenSSL的默认值，通常表明配置者未自定义证书信息。文章利用这一特征结合证书有效期'2023-06-23 15:59 UTC'进行搜索，找到了6个IP，再与banner和端口条件碰撞得到3个IP。这提示在威胁追踪中，默认配置或独特证书属性可作为有效的拓线切入点。
Q&A
COLDRIVER组织的主要攻击目标是什么？
COLDRIVER组织主要针对非政府组织、前情报和军事官员以及北约政府的知名人士进行凭证钓鱼攻击。
COLDRIVER的活动时间是什么时候？
COLDRIVER的活动时间为2023年8月至10月。
如何通过FOFA平台追踪COLDRIVER的活动？
可以通过FOFA平台的特定语法查询，如使用端口3000和TLS banner信息进行搜索。
COLDRIVER组织的可疑IP地址有哪些？
可疑IP地址包括45.133.216.15:3000、95.164.17.94:3000和89.19.211.240:3000。
COLDRIVER的证书信息显示了什么？
证书信息显示组织名为'Internet Widgits Pty Ltd'，有效期为2023年6月23日。
COLDRIVER的活动是否有未知资产的样本？
新发现的可疑IOC中没有发现未知资产的样本，但认为这两个IP地址具有高可疑性。
