Recherche de code GitHub (lecture seule)
Requêtes search/code exécutées avec la session gh de l'utilisateur, sans écriture. Chaque ligne : requête, date, nombre de résultats, premiers dépôts.
| Requête | Date (UTC) | Résultats | Premiers dépôts |
|---|---|---|---|
"13rzip.ru" |
2026-10-23 01:23 | 0 | - |
"system-strategy.org" |
2026-10-23 01:23 | 16 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
"iquickline.com" |
2026-10-23 01:23 | 16 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
"mcgrawney.com" |
2026-10-23 01:24 | 15 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
"stackpathcloud.com" |
2026-10-23 01:24 | 15 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
"cloud-update.live" |
2026-10-23 01:24 | 15 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
"driverupdate.app" |
2026-10-23 01:24 | 14 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
"bossprotect.com" |
2026-10-23 01:24 | 19 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, cirosantilli/expired-domain-names-by-day-2018:06/08/07 |
"89.185.83.8" |
2026-10-23 01:24 | 10 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ziyadnz/threat-intel-ip-feeds:output/alienvaultotxhourly.txt |
"77.110.109.248" |
2026-10-23 01:24 | 23 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, elliotwutingfeng/ThreatFox-IOC-IPs:ips.txt |
"138.124.123.56" |
2026-10-23 01:24 | 3 | muhaip2/ProxyIP:ProxyList2.txt, atomdrift-project/traits:testdata/taxonomy/hopper-re-followup-2026-10-20/review.json, isotope13-dev/traits-dev:testdata/taxonomy/hopper-re-followup-2026-10-20/review.json |
"45.227.254.45" |
2026-10-23 01:25 | 12 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ziyadnz/threat-intel-ip-feeds:output/alienvaultotxhourly.txt |
"chacha20_tunnel_v3_" |
2026-10-23 01:25 | 0 | - |
"rks3/cmd/agent" |
2026-10-23 01:25 | 0 | - |
"WinSvcUpdate_7B3F" |
2026-10-23 01:25 | 0 | - |
"phantomEDR" |
2026-10-23 01:25 | 194 | ShadowStrike-Labs/ShadowStrike:src/Products/Community/PhantomEDR/EDRProductOrchestrator.hpp, ShadowStrike-Labs/ShadowStrike:src/Products/Community/PhantomEDR/EDRProductOrchestrator.cpp, ShadowStrike-Labs/ShadowStrike:PhantomEDR.vcxproj |
"incblog6qu4y4mm4zvw5nrmue6qbwtgjsxpw6b7ixzssu36tsajldoad" |
2026-10-23 01:25 | 297 | fastfire/deepdarkCTI:ransomware_gang.md, ThreatLabz/ransomware_notes:inc/INC-README3.txt, JMousqueton/ransomware.live:bin/_parsers/incransom-api.py |
"pnadmin" "Str0ng!Pass99" |
2026-10-23 01:25 | 0 | - |
"msedge_update.exe" "agent.enc" |
2026-10-23 01:25 | 0 | - |
"/root/chat/DOWNLOADER" |
2026-10-23 01:26 | 0 | - |
Lecture des résultats#
- Aucun dépôt de l'opérateur n'a été trouvé. Les chaînes spécifiques (
13rzip.ru,chacha20_tunnel_v3_,rks3/cmd/agent,WinSvcUpdate_7B3F, le couplepnadminet son mot de passe,/root/chat/DOWNLOADER,msedge_update.exeavecagent.enc) donnent zéro résultat. - Les 10 à 23 résultats pour les adresses et les domaines de la campagne sont des listes de blocage de défenseurs (par exemple
stamparm/trails,pengelana/blocklist, des flux ThreatFox et OTX). Les nombres presque identiques d'un domaine à l'autre viennent de la correspondance de ces listes, pas d'un dépôt lié à la campagne. phantomEDR(194 résultats) et les 297 résultats de l'onion du blog INC sont du bruit : le premier est un projet de sécurité sans rapport, le second est dilué dans des listes d'indicateurs.- Une analyse d'un tiers datée du 2026-10-20 (dépôts
atomdrift-project/traitsetisotope13-dev/traits-dev) cite138.124.123.56. Elle traite des échantillons du même téléversement, sans lien avec l'opérateur. - La liste Maltrail
inc_ransomware.txtcontient les adresses de la campagne avec des ports que ce dossier n'avait pas :179.60.149.68:8443,45.227.254.43:8443et:8899,45.227.254.45:8443,45.227.254.84:8443,77.110.109.248:8080et:8443,138.124.113.210:22. Ils sont repris dansiocs.csvcomme issus d'une source publique et non vérifiés par l'analyse. - Le chemin
runneradminne permet toujours pas d'identifier un dépôt : seul GitHub peut relier un exécuteur à un compte.