Analyse des 54 hachages INC candidats

Analyse statique uniquement : les 54 échantillons ont été téléchargés de MalwareBazaar dans binaries/related/ (SHA-256 vérifié pour chacun), jamais exécutés, aucune infrastructure contactée, aucun fichier chiffré ni donnée de victime recherchés. Les champs sont extraits par lecture directe des octets (clé base64 de 44 caractères, identifiant hexadécimal, note de rançon en base64, horodatage PE). Le détail par fichier est dans inc_candidates_fields.csv et les indicateurs nouveaux dans new_iocs_inc_candidates.csv.

Ce que contient la liste#

L'étiquette INC donnée par le déposant ne correspond pas toujours au contenu : un fichier est signé Sinobi, quinze sont Lynx, et trois exécutables n'embarquent ni clé ni note. Un fichier (463075274e) a un horodatage PE de 1992 et partage clé et identifiant avec un autre build : c'est une enveloppe d'infecteur de fichiers autour du même encrypteur.

Structure commune des champs patchés#

Tous les encrypteurs à clé portent les mêmes champs, de forme identique à ceux des builds du lot de 2026 :

• une clé publique base64 de 44 caractères (32 octets), propre à la victime ;
• un identifiant hexadécimal de 24 caractères : 8 caractères d'horodatage Unix, 8 caractères intermédiaires, 8 caractères finaux ;
• une note de rançon en base64 dans les données.

Sur les PE C++, l'identifiant précède la clé dans les données ; sur les ELF C++, il la suit ; sur les builds Rust, il suit la note. Sur 39 identifiants lisibles, les horodatages vont du 2024-04-22 15:55:27 au 2025-07-26 13:12:06 UTC, tous postérieurs de plusieurs mois à la compilation du build correspondant : les builds sont compilés une fois puis patchés à la demande. Les 17 PE de 165 376 octets ont tous l'horodatage PE 2024-04-09 08:25:18 mais 17 clés et 17 identifiants différents, étalés du 2024-04-27 au 2024-11-07.

Les 8 caractères intermédiaires restent constants sur des périodes de quelques semaines (par exemple 4b308506 du 2024-07-19 au 2024-09-28, 54d7f122 du 2024-10-05 au 2024-10-23, 05a779c3 du 2025-01-07 au 2025-01-14, c7b82dfe les 2025-07-15 et 2025-07-26). Ils ressemblent à un identifiant de machine ou de session de génération, et ils changent entre les grandes périodes. Les builds du lot de 2026 utilisent 9cd108bf. Cette lecture est une hypothèse : le code qui les produit n'est pas dans les échantillons.

Clés publiques : 41 clés distinctes#

Sur 44 fichiers porteurs d'une clé, 41 clés sont distinctes. Trois clés sont partagées :

Le déchiffreur INC 2.0 embarque lui aussi une clé (mBYBztJiFJd3…). Son rôle dans le schéma n'est pas établi. Les deux clés des ESXi Rust (yaVe52xy7Nb9…, 9vrlSsDq1UH/…) et celle du PE Rust x64 (oeav7EaggRpk…) sont aussi nouvelles par rapport aux six clés du lot de 2026. Aucune des 41 clés n'est une des six clés du lot de 2026.

Notes de rançon et miroirs#

Les builds Rust de juillet 2025 emploient donc déjà le miroir incblog.su que la note des builds du lot de 2026 cite encore, ce qui date l'origine de cette note d'au moins l'été 2025.

Aucun portefeuille ni adresse de messagerie ne figure dans les notes lues.

Chronologie#

Premières apparitions sur MalwareBazaar : de 2024-06-11 à 2026-09-18 (le dernier est l'ESXi Rust déjà connu). Les builds Lynx apparaissent à partir d'août 2024 (PDB E:\Lynx\Release\Lynx.pdb), le build Sinobi en juillet 2025, et les builds Rust en juillet 2025. La lignée C++ à identifiants de 24 caractères précède donc de plus d'un an les builds du lot de 2026.

Cas particuliers#

• Zips. 5415400adb, fabd01e17d et 0bcd656520 contiennent les exécutables 02472036db, 7f104a3dfd et 834c5f094c, déjà présents dans la liste. a02c6fc6a9 est une archive à contenu chiffré, non ouverte.
• IExpress. 4fbbf0d94f est un extracteur autonome (wextract) qui porte la chaîne « LYNX ENCRYPTED YOUR FILES!! » et un horodatage PE fictif de 2104. Son contenu n'a pas été extrait.
• Sinobi. d4919a7402 est un exécutable x64 à modes d'exécution fast, medium et slow (5 %, 15 % et 25 % du fichier). Son identifiant a le même format que les précédents, ce qui indique un générateur partagé avec INC et Lynx. Sa clé n'a pas été localisée.
• Logiciels tiers. 5e3c44ac77 (composant d'une suite de sécurité) et 39e1aa1183 (installeur d'un service de stockage) sont des programmes légitimes pour lesquels aucun lien avec INC n'est visible dans le contenu.

Limites#

Les clés publiques sont extraites telles quelles : leur usage exact dans les builds C++ n'a pas été vérifié par décompilation, seule la forme du champ est identique à celle des builds Rust. Les liens entre familles reposent sur la forme des champs et des identifiants, pas sur une preuve de code partagé. Aucun fichier de victime n'a été examiné, et la liste n'établit pas de lien technique avec le lot de 2026.