# Recherche de code GitHub (lecture seule)

Requêtes `search/code` exécutées avec la session `gh` de l'utilisateur, sans écriture. Chaque ligne : requête, date, nombre de résultats, premiers dépôts.

| Requête | Date (UTC) | Résultats | Premiers dépôts |
|---|---|---|---|
| `"13rzip.ru"` | 2026-10-23 01:23 | 0 | - |
| `"system-strategy.org"` | 2026-10-23 01:23 | 16 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
| `"iquickline.com"` | 2026-10-23 01:23 | 16 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
| `"mcgrawney.com"` | 2026-10-23 01:24 | 15 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
| `"stackpathcloud.com"` | 2026-10-23 01:24 | 15 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
| `"cloud-update.live"` | 2026-10-23 01:24 | 15 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
| `"driverupdate.app"` | 2026-10-23 01:24 | 14 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ctaner/kobi-cti:feeds/domain-blocklist.txt |
| `"bossprotect.com"` | 2026-10-23 01:24 | 19 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, cirosantilli/expired-domain-names-by-day-2018:06/08/07 |
| `"89.185.83.8"` | 2026-10-23 01:24 | 10 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ziyadnz/threat-intel-ip-feeds:output/alienvaultotxhourly.txt |
| `"77.110.109.248"` | 2026-10-23 01:24 | 23 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, elliotwutingfeng/ThreatFox-IOC-IPs:ips.txt |
| `"138.124.123.56"` | 2026-10-23 01:24 | 3 | muhaip2/ProxyIP:ProxyList2.txt, atomdrift-project/traits:testdata/taxonomy/hopper-re-followup-2026-10-20/review.json, isotope13-dev/traits-dev:testdata/taxonomy/hopper-re-followup-2026-10-20/review.json |
| `"45.227.254.45"` | 2026-10-23 01:25 | 12 | pengelana/blocklist:src/blacklist/stamparm/malware/inc_ransomware.txt, stamparm/trails:malware/inc_ransomware.txt, ziyadnz/threat-intel-ip-feeds:output/alienvaultotxhourly.txt |
| `"chacha20_tunnel_v3_"` | 2026-10-23 01:25 | 0 | - |
| `"rks3/cmd/agent"` | 2026-10-23 01:25 | 0 | - |
| `"WinSvcUpdate_7B3F"` | 2026-10-23 01:25 | 0 | - |
| `"phantomEDR"` | 2026-10-23 01:25 | 194 | ShadowStrike-Labs/ShadowStrike:src/Products/Community/PhantomEDR/EDRProductOrchestrator.hpp, ShadowStrike-Labs/ShadowStrike:src/Products/Community/PhantomEDR/EDRProductOrchestrator.cpp, ShadowStrike-Labs/ShadowStrike:PhantomEDR.vcxproj |
| `"incblog6qu4y4mm4zvw5nrmue6qbwtgjsxpw6b7ixzssu36tsajldoad"` | 2026-10-23 01:25 | 297 | fastfire/deepdarkCTI:ransomware_gang.md, ThreatLabz/ransomware_notes:inc/INC-README3.txt, JMousqueton/ransomware.live:bin/_parsers/incransom-api.py |
| `"pnadmin" "Str0ng!Pass99"` | 2026-10-23 01:25 | 0 | - |
| `"msedge_update.exe" "agent.enc"` | 2026-10-23 01:25 | 0 | - |
| `"/root/chat/DOWNLOADER"` | 2026-10-23 01:26 | 0 | - |

## Lecture des résultats

- Aucun dépôt de l'opérateur n'a été trouvé. Les chaînes spécifiques (`13rzip.ru`, `chacha20_tunnel_v3_`, `rks3/cmd/agent`, `WinSvcUpdate_7B3F`, le couple `pnadmin` et son mot de passe, `/root/chat/DOWNLOADER`, `msedge_update.exe` avec `agent.enc`) donnent zéro résultat.
- Les 10 à 23 résultats pour les adresses et les domaines de la campagne sont des listes de blocage de défenseurs (par exemple `stamparm/trails`, `pengelana/blocklist`, des flux ThreatFox et OTX). Les nombres presque identiques d'un domaine à l'autre viennent de la correspondance de ces listes, pas d'un dépôt lié à la campagne.
- `phantomEDR` (194 résultats) et les 297 résultats de l'onion du blog INC sont du bruit : le premier est un projet de sécurité sans rapport, le second est dilué dans des listes d'indicateurs.
- Une analyse d'un tiers datée du 2026-10-20 (dépôts `atomdrift-project/traits` et `isotope13-dev/traits-dev`) cite `138.124.123.56`. Elle traite des échantillons du même téléversement, sans lien avec l'opérateur.
- La liste Maltrail `inc_ransomware.txt` contient les adresses de la campagne avec des ports que ce dossier n'avait pas : `179.60.149.68:8443`, `45.227.254.43:8443` et `:8899`, `45.227.254.45:8443`, `45.227.254.84:8443`, `77.110.109.248:8080` et `:8443`, `138.124.113.210:22`. Ils sont repris dans `iocs.csv` comme issus d'une source publique et non vérifiés par l'analyse.
- Le chemin `runneradmin` ne permet toujours pas d'identifier un dépôt : seul GitHub peut relier un exécuteur à un compte.