Новый управляющий уровень северокорейского сервиса Hangro раскрыл внутренний адрес сети

Hangro - разработка не новая. В заголовке окна клиента стоит корейское слово "туман", а в меню - пункты для почты и переписки. Описание на сторонней странице называет программу службой для посетителей, находящихся вдали от родины. В августе 2022 года её предписали установить сотрудникам торговых представительств в трёх китайских провинциях. Распространяли через консульство в Шэньяне, по 350 долларов за место. Для части чиновников это единственный канал почтовой связи с центром.

Новый уровень собран по другим правилам, чем прежний, который продолжает работать рядом. Другое шифрование, срок действия десять лет вместо пяти, отдельный корневой сертификат, не имеющий ничего общего с предыдущей цепочкой. В открытых публикациях эта часть инфраструктуры до сих пор не описана. {По данным исследователя Nick Roy}, служба совмещает почту и защищённое подключение в одном продукте и известна с января 2025 года.

Список адресов внутри сертификата объясняет, зачем он нужен. Пять публичных адресов в двух странах и один внутренний. Последний взят из диапазона, отведённого под операторскую трансляцию адресов. Из интернета он недоступен и в публичном сертификате оказаться не должен был. Тот же документ отвечает и на пхеньянских, и на хабаровских машинах. По обе стороны границы работает одна и та же поверхность управления.

Прежний контур, собранный в 2024 году, устроен иначе и ломается на проверке подписей. Ни одна подпись в цепочке не подтверждается, даже корневой сертификат не сходится сам с собой. Проверку провели заново, вручную, без обращения к хранилищам доверенных сертификатов. Результат повторился на живых серверах, а не только на сохранённых копиях. При этом на старом почтовом и сетевом уровне сервер не может доказать, что владеет ключом от предъявленного сертификата. На новом управляющем уровне такая проверка проходит. Клиент подписи не проверяет вовсе.

Разбор китайской части вывел на шесть блоков адресов, всего пятьдесят восемь адресов в китайском адресном пространстве. Все они привязаны к одной регистрационной записи. В ней указан адрес электронной почты в домене Silibank, а сама запись не менялась с 2008 года. Один из блоков клиент до сих пор носит в настройках как адрес по умолчанию. Запись ведёт корейское имя, однако телефонный номер из неё относится к другому району Шэньяна. В офисе Silibank использовали другие номера.

История домена распадается на несколько этапов. В начале 2000-х Silibank был коммерческим почтовым шлюзом с прайс-листом и формами регистрации. Тариф составлял десять евроцентов за килобайт. К 2014 году на том же домене выложили установщики клиента Hangro, в каталоге с именем "туман". К концу 2016 года шэньянский офис перестал выходить на связь. В 2023 году регистрацию продлил другой владелец, и сегодня там пустая страница. Отсюда практический вывод: тот, кто держит домен сейчас, получает письма, адресованные администратору китайского блока адресов.

Российская часть выглядит скромнее. Блок адресов значится за провайдером в Хабаровске, заказчик в реестре не раскрыт. Рядом обнаруживается семейство сетей со схожими служебными именами. Старейшая известна с 2013 года, а одна из них в описании привязана к пограничному переходу Хасан. Имена сетей присваивает провайдер, и сами по себе они ничего не доказывают. Зато единственный элемент, не продублированный через границу, - отдельный сертификат, который отвечает только на российской стороне.

Почтовое плечо измеряется иначе. Два ретранслятора принимают сообщения размером до десяти гигабайт, тогда как обычные почтовые системы ограничиваются десятками мегабайт. В конфигурацию такое значение случайно не попадает. Доставку по запросу включают там, где канал доступен почти всё время, но не всегда. Очередь переживает обрыв, загрузка - нет. Похожую схему служба описывала ещё в 2004 году: выделенная линия между Пхеньяном и Шэньяном и круглосуточное соединение между почтовыми серверами.

Общий сертификат, совпадающий список адресов и одинаковый набор сервисов указывают на совместное администрирование инфраструктуры. Дальше доказательства не идут. Содержимое, скрытое за двусторонней проверкой сертификатов, никто не наблюдал, поэтому говорить о едином центре управления рано. Ни одного документа, прошедшего по этим каналам, публично не зафиксировано. Лимит в десять гигабайт описывает предполагаемую нагрузку, а не перехваченный груз.

Для защитников выводы простые. Полезно проверять, кому принадлежит домен, на который ссылается регистрационная запись: за десять лет владелец мог смениться. Списки доверенных сертификатов, собранные вручную, стоит пересматривать. И отдельно - служебные порты управления, которые не должны отвечать из интернета. Сам Hangro за четверть века прошёл путь от платной услуги до продукта, который не выбирают, а получают по разнарядке.