Journal des pivots OSINT passifs
Sources tierces uniquement. Aucune requête vers l'infrastructure de l'opérateur (IP, domaines, services Tor, API Telegram). Aucun jeton utilisé. Chaque ligne indique la requête, la date (UTC) et le résultat, y compris les résultats vides.
| Requête | Date | Résultat |
|---|---|---|
| ransomware.live API v2 /groups | 2026-10-23 | 200, 412 groupes. Entrée incransom (alias Inc Ransom, ajouté 2023-08-09) avec 7 emplacements de blog de fuite connus |
| ransomware.live API v2 /group/inc et /groupvictims/inc | 2026-10-23 | 404 (mauvais slug, le slug réel est incransom) |
| ransomlook.io /api/group/inc | 2026-10-23 | 404 |
| ransomware.live API v2 /groupvictims/incransom | 2026-10-23 | 200, 979 victimes depuis 2023-08-09, dernière découverte 2026-10-22. 27 découvertes depuis le 2026-09-30, détail dans inc_public_victims_not_for_publication.md |
| ransomware.live /groups : onion incblog6qu4y4mm4zvw5nrmue6qbwtgjsxpw6b7ixzssu36tsajldoad.onion | 2026-10-23 | Présent comme blog de fuite INC (disponible côté tracker). Confirme que l'adresse de la note de rançon est le site de fuite officiel |
| ransomware.live /groups : incblog.su | 2026-10-23 | Absent de la liste des emplacements suivis. Les emplacements suivis sont incbackend.top, incapt.blog, incapt.su, incbackrlasjesgpfu5brktfjknbqoahe2hhmqfhasc5fb56mtukn4yd.onion, incbacg6bfwtrlzwdbqc55gsfl763s3twdtwhp27dzuik6s6rwdcityd.onion, incblog7vmuq7rktic73r4ha4j757m3ptym37tyvifzp2roedyyzzxid.onion |
| ransomware.live /groups : onion de négociation incpaykabjqc2mtdxq6c23nqh4x6m5dkps5fr6vgdkgzp5njssx6qkid.onion | 2026-10-23 | Absent du tracker (attendu, le tracker ne suit que les sites de fuite) |
| Registre .su (whois.tcinet.ru) : incblog.su | 2026-10-23 | « No entries found » : le domaine n'est pas enregistré à la date du relevé |
| DNS-over-HTTPS dns.google : A et NS de incblog.su, www.incblog.su, incapt.su, incapt.blog, incbackend.top | 2026-10-23 | NXDOMAIN pour les cinq noms (SOA de ripn.net, cira.ca et zdnscloud.com). Aucun de ces miroirs clairs ne résout aujourd'hui |
| UDP 53 vers 1.1.1.1 depuis la machine d'analyse | 2026-10-23 | Connexion refusée, DoH utilisé à la place |
| RDAP rdap.org : incbackend.top, incapt.blog, incapt.su | 2026-10-23 | Pas de réponse utile ou 404 « No RDAP service » |
| Wayback CDX : incblog.su | 2026-10-23 | Captures de 2024-06-22 à 2025-04-09 (page d'accueil, assets Vite, favicon, une page /blog/disclosures/...). Le miroir clair a existé au moins 10 mois |
| Wayback CDX : incapt.blog | 2026-10-23 | Captures de 2023-11-30 à 2024-11-14, page d'accueil puis redirections 308 |
| Wayback CDX : incbackend.top | 2026-10-23 | Captures de 2023-11-30 à 2024-12-01, API /api/blog/get-leaks (JSON) |
| Wayback CDX : incapt.su | 2026-10-23 | Réponse HTML « Internet Archive: Temporarily Offline », non exploitable |
| urlscan.io search ip:"89.185.83.8" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search ip:"77.110.109.248" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search ip:"138.124.123.56" (30 derniers jours) | 2026-10-23 | 2 résultats (total 2), 2026-10-19 à 2026-10-19, domaines ['login.microsoftonline.ms.gsmexchange.13rzip.ru', 'microsoft.ms.gsmexchange.13rzip.ru'], IP ['138.124.123.56'], serveurs ['nginx/1.18.0 (Ubuntu)'], titres ['Sign in - Payroll Portal'] |
| urlscan.io search ip:"45.227.254.45" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search ip:"45.227.254.43" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search ip:"45.227.254.84" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search ip:"179.60.149.68" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search ip:"138.124.113.210" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search ip:"91.199.163.67" (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search domain:system-strategy.org (30 derniers jours) | 2026-10-23 | 3 résultats (total 3), 2026-10-21 à 2026-10-22, domaines ['system-strategy.org'], IP ['172.67.170.155', '2606:4700:3030::ac43:aa9b'], serveurs ['cloudflare'], titres ['StackPath - Edge Services'] |
| urlscan.io search domain:iquickline.com (30 derniers jours) | 2026-10-23 | 3 résultats (total 3), 2026-10-21 à 2026-10-22, domaines ['iquickline.com'], IP ['104.21.9.197', '172.67.161.80', '2606:4700:3037::6815:9c5'], serveurs ['cloudflare'], titres ['Welcome'] |
| urlscan.io search domain:mcgrawney.com (30 derniers jours) | 2026-10-23 | 2 résultats (total 2), 2026-10-22 à 2026-10-22, domaines ['mcgrawney.com'], IP ['172.67.176.1'], serveurs ['cloudflare'], titres ['Welcome'] |
| urlscan.io search domain:driverupdate.app (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search domain:stackpathcloud.com (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io search domain:cloud-update.live (30 derniers jours) | 2026-10-23 | 2 résultats (total 2), 2026-10-22 à 2026-10-22, domaines ['cloud-update.live'], IP ['104.21.60.146', '188.114.96.3'], serveurs ['cloudflare'], titres ['cloud-update.live / 522: Connection time'] |
| urlscan.io search domain:bossprotect.com (30 derniers jours) | 2026-10-23 | 2 résultats (total 2), 2026-10-22 à 2026-10-22, domaines ['bossprotect.com'], IP [], serveurs [''], titres [''] |
| urlscan.io search domain:trulitesupport.com (30 derniers jours) | 2026-10-23 | 2 résultats (total 2), 2026-10-22 à 2026-10-22, domaines ['trulitesupport.com'], IP ['172.67.182.200', '188.114.97.3'], serveurs ['cloudflare'], titres ['trulitesupport.com / 522: Connection tim'] |
| urlscan.io search domain:incblog.su (30 derniers jours) | 2026-10-23 | 0 résultat |
| urlscan.io /api/v1/result/ |
2026-10-23 | HTTP 403 (accès aux résultats complets refusé sans clé), seules les métadonnées de la recherche sont exploitables |
| urlscan.io détail des deux scans sur 138.124.123.56 | 2026-10-23 | Pages https://login.microsoftonline.ms.gsmexchange.13rzip.ru/login.php et https://microsoft.ms.gsmexchange.13rzip.ru/login.php, HTTP 200, serveur nginx/1.18.0 (Ubuntu), titre « Sign in - Payroll Portal », certificat de l'émetteur YE2 (Let's Encrypt) valide depuis 2026-10-12. Page d'hameçonnage d'identifiants Microsoft hébergée sur l'IP de l'agent Phantom mcp-agent |
| Shodan InternetDB 89.185.83.8 | 2026-10-23 | ports [22, 443, 4443], noms d'hôtes ['system-strategy.org'], étiquettes ['eol-product'], vulnérabilités ['CVE-2025-23419', 'CVE-2023-44487'] |
| Shodan InternetDB 77.110.109.248 | 2026-10-23 | ports [22, 443, 8080], noms d'hôtes ['wetturquoise.ptr.network'], étiquettes ['self-signed', 'open-dir', 'eol-product'], vulnérabilités ['CVE-2025-23419', 'CVE-2023-44487'] |
| Shodan InternetDB 138.124.123.56 | 2026-10-23 | ports [22], noms d'hôtes ['disturbingblue.ptr.network'], étiquettes [], vulnérabilités [] |
| Shodan InternetDB 45.227.254.45 | 2026-10-23 | ports [22, 80, 445, 4000, 5900, 5901, 9443], noms d'hôtes [], étiquettes ['self-signed'], vulnérabilités [] |
| Shodan InternetDB 45.227.254.43 | 2026-10-23 | ports [22, 2222, 3389, 8443], noms d'hôtes [], étiquettes ['self-signed'], vulnérabilités ['CVE-2020-29396', 'CVE-2009-2940', 'CVE-2026-0864', 'CVE-2021-32052', 'CVE-2026-15308'] |
| Shodan InternetDB 45.227.254.84 | 2026-10-23 | ports [22, 80, 1433, 6666, 8443], noms d'hôtes [], étiquettes ['self-signed'], vulnérabilités ['CVE-2026-0864', 'CVE-2021-32052', 'CVE-2026-15308', 'CVE-2009-2940', 'CVE-2009-3720'] |
| Shodan InternetDB 179.60.149.68 | 2026-10-23 | ports [3389, 8443, 8834], noms d'hôtes [], étiquettes ['self-signed'], vulnérabilités ['CVE-2026-0864', 'CVE-2021-32052', 'CVE-2026-15308', 'CVE-2009-2940', 'CVE-2009-3720'] |
| Shodan InternetDB 138.124.113.210 | 2026-10-23 | aucune donnée (No information available) |
| Shodan InternetDB 91.199.163.67 | 2026-10-23 | ports [25, 143, 465, 587, 993, 995, 3389, 5985], noms d'hôtes ['mail.bossprotect.com'], étiquettes ['starttls', 'self-signed'], vulnérabilités [] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 89.185.83.8 | 2026-10-23 | préfixe 89.185.83.0/24, AS ['209272'], PTR Missing DNS servers (NODNSERVER): 8.83.185.89.in-addr.arpa. (PTR), contacts abuse ['abuse@digi-cloud.net'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 77.110.109.248 | 2026-10-23 | préfixe 77.110.109.0/24, AS ['203273'], PTR ['wetturquoise.ptr.network'], contacts abuse ['abuse@netcrafters.host'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 138.124.123.56 | 2026-10-23 | préfixe 138.124.123.0/24, AS ['203273'], PTR ['disturbingblue.ptr.network'], contacts abuse ['abuse@netcrafters.host'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 45.227.254.45 | 2026-10-23 | préfixe 45.227.254.0/24, AS ['267784'], PTR Domain name doesn't exist (NXDOMAIN): 45.254.227.45.in-addr.arpa. (PTR), contacts abuse ['info@xwinnet.biz'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 45.227.254.43 | 2026-10-23 | préfixe 45.227.254.0/24, AS ['267784'], PTR Domain name doesn't exist (NXDOMAIN): 43.254.227.45.in-addr.arpa. (PTR), contacts abuse ['info@xwinnet.biz'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 45.227.254.84 | 2026-10-23 | préfixe 45.227.254.0/24, AS ['267784'], PTR Domain name doesn't exist (NXDOMAIN): 84.254.227.45.in-addr.arpa. (PTR), contacts abuse ['info@xwinnet.biz'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 179.60.149.68 | 2026-10-23 | préfixe 179.60.149.0/24, AS ['209272'], PTR Domain name doesn't exist (NXDOMAIN): 68.149.60.179.in-addr.arpa. (PTR), contacts abuse ['noc@fineisp.net'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 138.124.113.210 | 2026-10-23 | préfixe 138.124.113.0/24, AS ['210644'], PTR Domain name doesn't exist (NXDOMAIN): 210.113.124.138.in-addr.arpa. (PTR), contacts abuse ['abuse@aeza.ru'] |
| RIPEstat network-info/reverse-dns-ip/abuse-contact-finder 91.199.163.67 | 2026-10-23 | préfixe 91.199.163.0/24, AS ['209272'], PTR ['mail.bossprotect.com'], contacts abuse ['abuse@digi-cloud.net'] |
| RIPEstat routing-history 89.185.83.0/24 | 2026-10-23 | AS1299 2008-05-05 -> 2008-05-16; AS3352 2007-08-15 -> 2007-08-26; AS5541 2013-12-17 -> 2013-12-28; AS8881 2021-05-21 -> 2021-06-01; AS9121 2004-10-05 -> 2004-10-16; AS19962 2004-03-15 -> 2004-03-26 |
| RIPEstat routing-history 91.199.163.0/24 | 2026-10-23 | AS834 2024-02-23 -> 2025-02-16; AS1299 2008-05-05 -> 2008-05-16; AS3352 2007-08-15 -> 2007-08-26; AS5089 2022-12-30 -> 2023-01-10; AS5541 2013-12-17 -> 2013-12-28; AS8237 2013-10-30 -> 2013-11-10 |
| RIPEstat routing-history 179.60.149.0/24 | 2026-10-23 | AS237 2011-03-03 -> 2011-03-26; AS9498 2012-08-12 -> 2020-08-17; AS19962 2004-03-15 -> 2004-03-26; AS27034 2008-02-23 -> 2008-03-05; AS32098 2024-06-10 -> 2024-06-21; AS39792 2014-09-07 -> 2014-09-18 |
| RIPEstat routing-history 77.110.109.0/24 | 2026-10-23 | AS1299 2008-05-05 -> 2008-05-16; AS3352 2007-08-15 -> 2007-08-26; AS5541 2013-12-17 -> 2013-12-28; AS9121 2004-10-05 -> 2004-10-16; AS17557 2011-12-04 -> 2011-12-15; AS19962 2004-03-15 -> 2004-03-26 |
| RIPEstat routing-history 138.124.123.0/24 | 2026-10-23 | AS2116 2008-04-23 -> 2020-06-06; AS2116 2011-01-14 -> 2016-02-16; AS3352 2007-08-15 -> 2007-08-26; AS4445 2002-11-21 -> 2002-12-02; AS7029 2019-06-13 -> 2019-06-24; AS13259 2023-04-05 -> 2023-07-09 |
| RIPEstat routing-history 138.124.113.0/24 | 2026-10-23 | AS2116 2008-04-23 -> 2020-06-06; AS2116 2011-01-14 -> 2016-02-16; AS3352 2007-08-15 -> 2007-08-26; AS4445 2002-11-21 -> 2002-12-02; AS7029 2019-06-13 -> 2019-06-24; AS13259 2023-04-05 -> 2023-07-09 |
| RIPEstat routing-history 45.227.254.0/24 | 2026-10-23 | AS237 2010-12-21 -> 2011-01-25; AS290 2000-08-27 -> 2010-03-19; AS290 2001-09-03 -> 2005-05-08; AS1299 2008-05-05 -> 2008-05-16; AS2381 2003-03-09 -> 2008-04-10; AS3352 2007-08-15 -> 2007-08-26 |
| RIPEstat as-overview et announced-prefixes AS209272 | 2026-10-23 | titulaire AS-ALVIVA Alviva Holding Limited, bloc IANA 32-bit Autonomous System (AS) Numbers Registry, annoncé True, 6 préfixes IPv4+IPv6 |
| RIPEstat as-overview et announced-prefixes AS203273 | 2026-10-23 | titulaire NetCraftersOU NetCrafters OU, bloc IANA 32-bit Autonomous System (AS) Numbers Registry, annoncé True, 175 préfixes IPv4+IPv6 |
| RIPEstat as-overview et announced-prefixes AS267784 | 2026-10-23 | titulaire AS267784 - Flyservers S.A., bloc IANA 32-bit Autonomous System (AS) Numbers Registry, annoncé True, 5 préfixes IPv4+IPv6 |
| RIPEstat as-overview et announced-prefixes AS210644 | 2026-10-23 | titulaire AEZA-AS AEZA GROUP LLC, bloc IANA 32-bit Autonomous System (AS) Numbers Registry, annoncé True, 360 préfixes IPv4+IPv6 |
| RIPEstat routing-history (origines les plus récentes) 89.185.83.0/24 | 2026-10-23 | AS209272 2026-09-28 -> 2026-10-09; AS209272 2026-10-10 -> 2026-10-21; AS209272 2026-10-22 -> 2026-10-22 |
| RIPEstat routing-history (origines les plus récentes) 91.199.163.0/24 | 2026-10-23 | AS209272 2026-09-16 -> 2026-10-09; AS209272 2026-10-10 -> 2026-10-21; AS209272 2026-10-22 -> 2026-10-22 |
| RIPEstat routing-history (origines les plus récentes) 179.60.149.0/24 | 2026-10-23 | AS209272 2026-09-16 -> 2026-10-09; AS209272 2026-10-10 -> 2026-10-21; AS209272 2026-10-22 -> 2026-10-22 |
| RIPEstat routing-history (origines les plus récentes) 77.110.109.0/24 | 2026-10-23 | AS203273 2026-08-11 -> 2026-10-09; AS203273 2026-10-10 -> 2026-10-21; AS203273 2026-10-22 -> 2026-10-22 |
| RIPEstat routing-history (origines les plus récentes) 138.124.123.0/24 | 2026-10-23 | AS203273 2026-08-11 -> 2026-10-09; AS203273 2026-10-10 -> 2026-10-21; AS203273 2026-10-22 -> 2026-10-22 |
| RIPEstat routing-history (origines les plus récentes) 138.124.113.0/24 | 2026-10-23 | AS210644 2026-08-11 -> 2026-10-09; AS210644 2026-10-10 -> 2026-10-21; AS210644 2026-10-22 -> 2026-10-22 |
| RIPEstat routing-history (origines les plus récentes) 45.227.254.0/24 | 2026-10-23 | AS267784 2026-08-11 -> 2026-10-09; AS267784 2026-10-10 -> 2026-10-21; AS267784 2026-10-22 -> 2026-10-22 |
| DoH dns.google 13rzip.ru A | 2026-10-23 | rcode 0 ['138.124.123.56'] |
| DoH dns.google 13rzip.ru NS | 2026-10-23 | rcode 0 ['b.aeza-dns.net.', 'a.aeza-dns.net.'] |
| DoH dns.google gsmexchange.13rzip.ru A | 2026-10-23 | rcode 0 ['138.124.123.56'] |
| DoH dns.google gsmexchange.13rzip.ru NS | 2026-10-23 | rcode 0 [] |
| DoH dns.google ms.gsmexchange.13rzip.ru A | 2026-10-23 | rcode 0 [] |
| DoH dns.google ms.gsmexchange.13rzip.ru NS | 2026-10-23 | rcode 0 [] |
| DoH dns.google login.microsoftonline.ms.gsmexchange.13rzip.ru A | 2026-10-23 | rcode 0 ['138.124.123.56'] |
| DoH dns.google login.microsoftonline.ms.gsmexchange.13rzip.ru NS | 2026-10-23 | rcode 0 [] |
| crt.sh %.13rzip.ru | 2026-10-23 | erreur 502 Bad Gateway |
| RDAP rdap.org 13rzip.ru | 2026-10-23 | {"rdapConformance":["rdap_level_0"],"lang":"en","errorCode":404,"title":"No RDAP service is available for this resource"} |
| whois whois.tcinet.ru 13rzip.ru | 2026-10-23 | % TCI Whois Service. Terms of use: / % https://tcinet.ru/documents/whois_ru_rf.pdf (in Russian) / % https://tcinet.ru/documents/whois_su.pdf (in Russian) / / domain: 13RZIP.RU / nserver: a.aeza-dns.net. / nserver: b.aeza-dns.net. / state: REGISTERED, DELEGATED, UNVERIFIED / person: Private Person / registrar: FE-RU / admin-contact: https://fe.ru/whois.php / created: 2026-08-26T15:21:02Z / paid-till: 2027-08-26T15:21:02Z / free-date: 2027-09-26 / source: TCI / / Last updated on 2026-10-23T00:38:02Z / / |
| DoH dns.google 13rzip.ru A | 2026-10-23 | rcode 0 ['138.124.123.56'] |
| urlscan.io search domain:13rzip.ru (30 derniers jours) | 2026-10-23 | 2 résultats; https://login.microsoftonline.ms.gsmexchange.13rzip.ru/login.php Sign in - Payroll Portal 138.124.123.56; https://microsoft.ms.gsmexchange.13rzip.ru/login.php Sign in - Payroll Portal 138.124.123.56 |
| urlscan.io search page.domain:gsmexchange.13rzip.ru (30 derniers jours) | 2026-10-23 | 2 résultats; https://login.microsoftonline.ms.gsmexchange.13rzip.ru/login.php Sign in - Payroll Portal 138.124.123.56; https://microsoft.ms.gsmexchange.13rzip.ru/login.php Sign in - Payroll Portal 138.124.123.56 |
| crt.sh %.13rzip.ru (nouvel essai) | 2026-10-23 | 66 certificats, 21 noms: ['ads.gsmexchange.13rzip.ru', 'ads.login.gsmexchange.13rzip.ru', 'ads2.gsmexchange.13rzip.ru', 'ads2.login.gsmexchange.13rzip.ru', 'autologon.microsoft.onedrive.13rzip.ru', 'images.gsmexchange.13rzip.ru', 'images.login.gsmexchange.13rzip.ru', 'login.13rzip.ru', 'login.gsmexchange.13rzip.ru', 'login.microsoft.onedrive.13rzip.ru', 'logon.microsoft.onedrive.13rzip.ru', 'media.gsmexchange.13rzip.ru', 'media.login.gsmexchange.13rzip.ru', 'rpl.gsmexchange.13rzip.ru', 'rpl.login.gsmexchange.13rzip.ru', 'video.gsmexchange.13rzip.ru', 'video.login.gsmexchange.13rzip.ru', 'www.13rzip.ru', 'www.gsmexchange.13rzip.ru', 'www.login.gsmexchange.13rzip.ru', 'www.microsoft.onedrive.13rzip.ru'], émetteurs ["C=US, O=Let's Encrypt, CN=YE1", "C=US, O=Let's Encrypt, CN=YE2"], du 2026-08-27 au 2026-10-08 |
| MalwareBazaar get_imphash pour les 45 imphashs du lot (limite 1000) | 2026-10-23 | 40 imphashs sont propres à un seul échantillon du lot (aucun voisin). Les imphashs génériques (MinGW, Go, Rust) ramènent 93 à plus de 1000 fichiers sans rapport : 4b1892ce 93, 4e2bd2c4 112, 9b763104 10, c2d457ad 323, cf72283b 183, d42595b6 plus de 1000, d5b1104f 20, ebc247a7 244. Aucun voisin retenu |
| MalwareBazaar get_gimphash (hash Go du lot : e3b0c442... = SHA-256 de la chaîne vide) | 2026-10-23 | Valeur non discriminante (plus de 1000 binaires Go), aucun voisin retenu |
| MalwareBazaar get_telfhash pour les 9 telfhash ELF du lot | 2026-10-23 | Les 9 valeurs sont génériques : 0 à 5 voisins hors lot, ELF sans rapport (outils d'étudiants, stealers), aucun retenu |
| MalwareBazaar get_dhash_icon pour les 5 empreintes d'icône | 2026-10-23 | Empreintes d'icônes génériques (Windows par défaut, 17 à 887 fichiers) : QuasarRAT, XWorm, Lumma, AsyncRAT. Aucun voisin retenu |
| MalwareBazaar get_taginfo : INC, INC Ransomware, The Gentlemen Ransomware, STRU, PivotC2, ICMacOS | 2026-10-23 | INC 63 fichiers dont 54 hors lot ; INC Ransomware et The Gentlemen Ransomware 114 (le lot) ; STRU 141 ; PivotC2 6 (tous dans le lot) ; ICMacOS 17 (dans le lot) |
| MalwareBazaar get_siginfo : INC | 2026-10-23 | 160 fichiers dont 48 hors lot, principalement signalés par JAMESWT_WT (35) et RakeshKrish12 (13), de 2025 à 2026 |
| MalwareBazaar get_issuerinfo : issuer_cn = SysTool Software Ltd. | 2026-10-23 | 1 fichier, déjà dans le lot. Aucun autre fichier signé par ce certificat |
| MalwareBazaar get_tlsh / get_certinfo / get_signerinfo | 2026-10-23 | get_tlsh exige une valeur TLSH exacte (aucune recherche de similarité), get_certinfo et get_signerinfo n'existent pas (unknown_operation) |
| MalwareBazaar tags techniques (Meterpreter, UPX, js, lnk, ps1, py, sh, doc, elf, exe, signed, zip, mirai, machO) | 2026-10-23 | Étiquettes non requêtables telles quelles (erreur ou illegal_tag), sans valeur de pivot |
| ThreatFox search_ioc 89.185.83.8 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 77.110.109.248 | 2026-10-23 | 1 IOC : 77.110.109.248:443 botnet_cc Unknown malware |
| ThreatFox search_ioc 138.124.123.56 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 45.227.254.45 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 45.227.254.43 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 45.227.254.84 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 179.60.149.68 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 138.124.113.210 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 91.199.163.67 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc system-strategy.org | 2026-10-23 | 1 IOC : system-strategy.org botnet_cc Unknown malware |
| ThreatFox search_ioc iquickline.com | 2026-10-23 | 1 IOC : iquickline.com botnet_cc Unknown malware |
| ThreatFox search_ioc mcgrawney.com | 2026-10-23 | 1 IOC : mcgrawney.com botnet_cc Unknown malware |
| ThreatFox search_ioc driverupdate.app | 2026-10-23 | 1 IOC : driverupdate.app botnet_cc Unknown malware |
| ThreatFox search_ioc stackpathcloud.com | 2026-10-23 | 1 IOC : stackpathcloud.com botnet_cc Unknown malware |
| ThreatFox search_ioc cloud-update.live | 2026-10-23 | 1 IOC : cloud-update.live botnet_cc Unknown malware |
| ThreatFox search_ioc bossprotect.com | 2026-10-23 | 1 IOC : bossprotect.com botnet_cc Unknown malware |
| ThreatFox search_ioc trulitesupport.com | 2026-10-23 | 1 IOC : trulitesupport.com botnet_cc Unknown malware |
| ThreatFox search_ioc 13rzip.ru | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc gsmexchange | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc incblog.su | 2026-10-23 | 1 IOC : incblog.su botnet_cc Unknown malware |
| ThreatFox search_ioc incapt.su | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc incapt.blog | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc incbackend.top | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc incblog6qu4y4mm4zvw5nrmue6qbwtgjsxpw6b7ixzssu36tsajldoad | 2026-10-23 | 1 IOC : incblog6qu4y4mm4zvw5nrmue6qbwtgjsxpw6b7ixzssu36tsa botnet_cc Unknown malware |
| ThreatFox search_ioc incpaykabjqc2mtdxq6c23nqh4x6m5dkps5fr6vgdkgzp5njssx6qkid | 2026-10-23 | 1 IOC : incpaykabjqc2mtdxq6c23nqh4x6m5dkps5fr6vgdkgzp5njss botnet_cc Unknown malware |
| ThreatFox search_ioc 8809711703 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 8942393139 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 8986910514 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc tz70miRVgkbFzm | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc pJQXFuNkDzzlRP34SykLQePNR2pUE95vPQQsIPy | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc rCdf4MoDNZi3 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 5905a2d1ededb1d5 | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc d7fe5d6dcf01bf1b | 2026-10-23 | aucun résultat |
| ThreatFox search_ioc 31ae8e4090b03c3e | 2026-10-23 | aucun résultat |
| URLhaus host 89.185.83.8 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 77.110.109.248 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 138.124.123.56 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 45.227.254.45 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 45.227.254.43 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 45.227.254.84 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 179.60.149.68 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 138.124.113.210 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 91.199.163.67 | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host system-strategy.org | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host api.system-strategy.org | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host iquickline.com | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host mcgrawney.com | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host driverupdate.app | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host stackpathcloud.com | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host cloud-update.live | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host bossprotect.com | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host 13rzip.ru | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host login.microsoftonline.ms.gsmexchange.13rzip.ru | 2026-10-23 | aucun résultat (no_results) |
| URLhaus host incblog.su | 2026-10-23 | aucun résultat (no_results) |
| ThreatFox taginfo STRU (193 IOC du rapporteur SOCRadarSTRU) | 2026-10-23 | 160 hachages, 18 domaines, 8 ip:port, 7 URL. Les 114 hachages du lot y figurent tous (saisis le 2026-10-20 15:48 à 15:53 UTC). 46 hachages hors lot appartiennent à d'autres campagnes du même rapporteur (lots du 2026-09-11, 09-15, 10-12 : adresses 89.217.174.207:9001, 146.103.99.177:8443, 45.138.16.182:9130, escapeai.live, mikoblico.xyz) |
| ThreatFox STRU : domaines saisis le 2026-10-20 | 2026-10-23 | system-strategy.org, iquickline.com, mcgrawney.com, driverupdate.app, stackpathcloud.com, cloud-update.live, bossprotect.com, trulitesupport.com, incblog.su, onions incblog6qu4..., incpaykabjqc2..., plus incblog4uttkxd6b4grii6k2qcj2tn5k37seep5xto3dlghyqla7u7qd.onion, incadmd42ytgp4hwkejirji4m6pcbacazoeic7fc5sd27nr7it5ajyqd.onion, z26qmezqaixjp3k6spvdpool4us6m3ei453f7wgl7gouojmp2ttkdgad.onion, karabas.corp, chat.mondeikin.com, ghost-relay.stk-cdn-07.workers.dev |
| ThreatFox : adresses IP de la campagne (89.185.83.8, 138.124.123.56, 45.227.254.45, 45.227.254.43, 45.227.254.84, 179.60.149.68, 138.124.113.210, 91.199.163.67) | 2026-10-23 | Absentes de ThreatFox. Seule 77.110.109.248:443 existe (id 1977973, abuse_ch, 2026-10-21, confiance 75, référence l'échantillon 9113fcdd...) |
| ThreatFox : 13rzip.ru, gsmexchange, ids Telegram (8809711703, 8942393139, 8986910514), clés publiques X25519, mutex Ghost | 2026-10-23 | Aucun résultat |
| URLhaus host : 9 IP et 12 domaines de la campagne, 13rzip.ru, login.microsoftonline.ms.gsmexchange.13rzip.ru, incblog.su | 2026-10-23 | Aucun résultat pour tous |
| WebSearch « 8809711703 telegram bot chat_id malware » | 2026-10-23 | Aucune page ne mentionne cet identifiant (résultats génériques sur l'abus de l'API Bot) |
| WebSearch « 8986910514 telegram » | 2026-10-23 | Aucune mention de l'identifiant. La recherche conjointe des deux identifiants de bot avec le mot « token » a été refusée par l'outil et n'a pas été relancée sous cette forme |
| WebSearch « 13rzip.ru OR gsmexchange.13rzip.ru phishing » | 2026-10-23 | Aucune publication sur ce domaine |
| WebSearch « system-strategy.org OR iquickline.com OR mcgrawney.com OR stackpathcloud.com malware C2 Ghost Phantom » | 2026-10-23 | Aucune mention. Les résultats concernent le rançongiciel Ghost (Cring) de l'avis CISA AA25-050A, sans rapport avec ces domaines |
| WebSearch « incblog.su OR incapt.su INC Ransom mirror leak site » | 2026-10-23 | incapt.su et incapt.blog sont cités comme liens clairs d'INC par WatchGuard et Strobes. incblog.su n'apparaît dans aucune page, hors ThreatFox et la note de rançon |
| WebSearch SOCRadar INC Gentlemen AI infrastructure | 2026-10-23 | Le rapport SOCRadar STRU est daté du 2026-10-20. Il annonce 8 257 messages d'IA, 46 builds d'encrypteur pour six victimes préparées, deux comptes OpenRouter actifs relevés le 5 octobre |
| GitHub API (sans jeton) search/repositories q="system-strategy" in:name,description,readme | 2026-10-23 | 2600 résultats : ['sniffle6/Input-System-Strategy-Pattern', 'wangxb96/Awesome-EdgeAI', 'michaelsyao/Multi-Asset-Systematic-Strategy', 'HenrikWM/SystemutviklerskolenStrategyPattern', 'jkaus324/machine-coding-interview-questions'] |
| GitHub API (sans jeton) search/repositories q="SysTool Software" in:readme,description | 2026-10-23 | 4 résultats : ['krshubham-1514/top-companies-career-pages', 'ExchangeTips-Byte/SysTools-IMAP-Migration-Tool', 'FindYourBugs/FindYourBugs', 'Freddy-Redpath/M57-forensic-investigation'] |
| GitHub API (sans jeton) search/repositories q=mcp-agent phantom checkin tasks result in:readme | 2026-10-23 | 2 résultats : ['the911fund/skill-of-skills', 'sangam14/my-awesome-stars'] |
| GitHub API (sans jeton) search/repositories q="msedge_update.exe" revsocks | 2026-10-23 | 0 résultats : [] |
| GitHub API (sans jeton) search/repositories q="WinSvcUpdate_7B3F" | 2026-10-23 | 0 résultats : [] |
| GitHub API (sans jeton) search/repositories q="incblog" ransom | 2026-10-23 | 0 résultats : [] |
| GitHub API (sans jeton) search/repositories q="iquickline" | 2026-10-23 | 0 résultats : [] |
| GitHub API (sans jeton) search/repositories q="13rzip" | 2026-10-23 | 0 résultats : [] |
| GitHub API (sans jeton) search/repositories q="stackpathcloud" | 2026-10-23 | 0 résultats : [] |
| GitHub API (sans jeton) search/repositories q="mcgrawney" | 2026-10-23 | 0 résultats : [] |
| GitHub API (sans jeton) search/code q=system-strategy.org | 2026-10-23 | refusé : Requires authentication |
| GitHub API (sans jeton) search/commits q=system-strategy.org | 2026-10-23 | 795976 |
| GitHub API (sans jeton) search/users q=incransom | 2026-10-23 | 0 : [] |
| Analyse des journaux crt.sh déjà collectés (8 domaines) : numéros de série partagés entre domaines | 2026-10-23 | 118 certificats distincts, 0 numéros de série communs à deux domaines ou plus |
| Analyse crt.sh : noms SAN étrangers dans les certificats de bossprotect.com | 2026-10-23 | 3 noms au total ; noms hors domaine : aucun |
| Analyse crt.sh : sous-domaines observés pour bossprotect.com | 2026-10-23 | 2 : ['*.bossprotect.com', 'mail.bossprotect.com'] |
| Analyse crt.sh : noms SAN étrangers dans les certificats de cloud-update.live | 2026-10-23 | 2 noms au total ; noms hors domaine : aucun |
| Analyse crt.sh : sous-domaines observés pour cloud-update.live | 2026-10-23 | 1 : ['*.cloud-update.live'] |
| Analyse crt.sh : noms SAN étrangers dans les certificats de driverupdate.app | 2026-10-23 | 2 noms au total ; noms hors domaine : aucun |
| Analyse crt.sh : sous-domaines observés pour driverupdate.app | 2026-10-23 | 1 : ['*.driverupdate.app'] |
| Analyse crt.sh : noms SAN étrangers dans les certificats de iquickline.com | 2026-10-23 | 2 noms au total ; noms hors domaine : aucun |
| Analyse crt.sh : sous-domaines observés pour iquickline.com | 2026-10-23 | 1 : ['*.iquickline.com'] |
| Analyse crt.sh : noms SAN étrangers dans les certificats de mcgrawney.com | 2026-10-23 | 10 noms au total ; noms hors domaine : aucun |
| Analyse crt.sh : sous-domaines observés pour mcgrawney.com | 2026-10-23 | 9 : ['*.mcgrawney.com', 'demo.mcgrawney.com', 'hostmaster.hostmaster.mcgrawney.com', 'hostmaster.mcgrawney.com', 'mail.mcgrawney.com', 'mail2.mcgrawney.com', 'shop.mcgrawney.com', 'store.mcgrawney.com', 'www.mcgrawney.com'] |
| Analyse crt.sh : noms SAN étrangers dans les certificats de stackpathcloud.com | 2026-10-23 | 2 noms au total ; noms hors domaine : aucun |
| Analyse crt.sh : sous-domaines observés pour stackpathcloud.com | 2026-10-23 | 1 : ['*.stackpathcloud.com'] |
| Analyse crt.sh : noms SAN étrangers dans les certificats de system-strategy.org | 2026-10-23 | 2 noms au total ; noms hors domaine : aucun |
| Analyse crt.sh : sous-domaines observés pour system-strategy.org | 2026-10-23 | 1 : ['*.system-strategy.org'] |
| Analyse RDAP des domaines (osint/rdap_*.json) : registraire | 2026-10-23 | Cinq domaines sont enregistrés chez Cloudflare Registrar (driverupdate.app, iquickline.com, mcgrawney.com, stackpathcloud.com, system-strategy.org), cloud-update.live chez Namecheap avec les serveurs de noms Cloudflare jose/arely, bossprotect.com chez NiceNIC. Cloudflare détient donc l'enregistrement, le DNS et le paiement des cinq premiers |
| Analyse RDAP : horodatages 'last changed' des domaines | 2026-10-23 | system-strategy.org modifié le 2026-08-12 03:50:27 UTC et cloud-update.live le 2026-08-12 04:10:23 UTC, soit 20 minutes d'écart : action probablement faite par la même personne sur deux comptes de registraire distincts |
| Analyse RDAP : écarts d'enregistrement | 2026-10-23 | stackpathcloud.com 2026-05-01 13:51:28 et system-strategy.org 2026-05-02 00:31:09 : 10 h 40 d'écart. driverupdate.app 2026-04-28 02:15:15 et cloud-update.live 2026-04-17 01:51:22 : deux enregistrements à 01:51 et 02:15 UTC, heure creuse en Europe de l'Ouest. iquickline.com 17:13:31 et mcgrawney.com 17:14:48 le 2026-08-07 : 77 s |
| Analyse RDAP : premier certificat public contre enregistrement | 2026-10-23 | iquickline.com : premier certificat 16:15:03 UTC, une heure avant l'enregistrement actuel (17:13:31), donc hérité d'un ancien titulaire. stackpathcloud.com : certificat 12:54:28, une heure avant l'enregistrement (13:51:28), même écart. Les certificats des deux noms précèdent leur date RDAP d'environ une heure. La cause n'est pas établie : décalage d'horodatage entre les sources ou certificat obtenu juste avant la finalisation de l'enregistrement |
| HackerTarget reverseiplookup 89.185.83.8 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 77.110.109.248 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 138.124.123.56 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 45.227.254.45 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 45.227.254.43 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 45.227.254.84 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 179.60.149.68 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 138.124.113.210 | 2026-10-23 | No DNS A records found |
| HackerTarget reverseiplookup 91.199.163.67 | 2026-10-23 | mail.bossprotect.com |
| HackerTarget hostsearch system-strategy.org | 2026-10-23 | api.system-strategy.org,172.67.170.155 |
| HackerTarget hostsearch iquickline.com | 2026-10-23 | iquickline.com,172.67.161.80 |
| HackerTarget hostsearch mcgrawney.com | 2026-10-23 | www.mcgrawney.com,172.67.176.1 |
| HackerTarget hostsearch driverupdate.app | 2026-10-23 | no results found |
| HackerTarget hostsearch stackpathcloud.com | 2026-10-23 | no results found |
| HackerTarget hostsearch cloud-update.live | 2026-10-23 | cloud-update.live,104.21.60.146 |
| HackerTarget hostsearch bossprotect.com | 2026-10-23 | mail.bossprotect.com,91.199.163.67 |
| HackerTarget hostsearch 13rzip.ru | 2026-10-23 | portal.ebenezercarehome.13rzip.ru,138.124.123.56 ; ads.gsmexchange.13rzip.ru,138.124.123.56 ; ads2.gsmexchange.13rzip.ru,138.124.123.56 ; images.gsmexchange.13rzip.ru,138.124.123.56 ; login.gsmexchange.13rzip.ru,138.124.123.56 ; ads.login.gsmexchange.13rzip.ru,138.124.123.56 ; ads2.login.gsmexchange.13rzip.ru,138.124.123.56 ; images.login.gsmexchange.13rzip.ru,138.124.123.56 ; media.login.gsmexcha |
| RDAP Verisign, PIR et rdap.org : recherche de domaines par serveur de noms (nsLdhName=coco.ns.cloudflare.com) | 2026-10-23 | 400, 400 et 501 : la recherche inverse par serveur de noms n'est pas offerte publiquement. Pivot non réalisable sans passive DNS commercial |
| HackerTarget hostsearch sur le domaine 13rzip.ru (24 noms, tous vers 138.124.123.56) | 2026-10-23 | Sous-domaines : gsmexchange (www, login, ads, ads2, images, media, rpl, video), ms.gsmexchange (account, cdn, login, microsoft, www, login.microsoftonline), login, www, et portal.ebenezercarehome. Le dernier est un portail au nom d'une organisation tierce, voir le fichier restreint |
| WebSearch certificat « SysTool Software Ltd. », numéro de série 2be703e258e3db61a8b48c6133 et empreinte 56824506... | 2026-10-23 | Aucune mention publique du certificat. Une société réelle, SysTools Software Private Limited, signe des logiciels avec un certificat Comodo : le nom du certificat de la campagne imite cette marque |
| crt.sh et services publics pour le certificat de signature de code Microsoft / SysTool | 2026-10-23 | Ces certificats de signature de code auto-signés ne sont pas dans les journaux CT, aucun pivot public par numéro de série ou empreinte |
| Wayback CDX 13rzip.ru (domaine et sous-domaines) | 2026-10-23 | aucune capture |
| BGPView /ip/138.124.123.56 | 2026-10-23 | réponse vide, service inactif |
| BGPView /ip/77.110.109.248 | 2026-10-23 | réponse vide, service inactif |
| MalwareBazaar get_info 86d04474459f2b0df01eb59e37e26a0c5eff5c48b359fb662bf0ea513f0f7d13 (non téléchargé) | 2026-10-23 | ELF ESXi nommé ESXi_encryptor_REDACTED.elf, 870920 octets (taille identique aux builds ESXi du lot), signature INC, telfhash identique à celui des builds ESXi du lot, premier vu 2026-09-18 13:16:19, signalé par PedroGabaldon, pays d'origine ES, 161 téléchargements. Antérieur de 12 jours au lot |
| MalwareBazaar : x86_64-unknown-linux-esxi.elf 6cd349eda0fa6c8b... | 2026-10-23 | Même taille 870920, étiquettes INC et IncRansom, premier vu 2025-08-05 14:10:12, signalé par JAMESWT_WT, avec quatre autres fichiers INC téléversés entre 14:10 et 14:18. Le modèle ESXi circule donc depuis 2025-08-05 |
| MalwareBazaar get_tlsh sur le TLSH des 114 fichiers du lot | 2026-10-24 | 114 requêtes, statut ok, aucun fichier hors du lot à TLSH identique |
| Pages publiques Triage (6 rapports RevSocks) et API v0 | 2026-10-24 | Signatures et étiquettes seulement ; API et fichiers déposés refusés sans authentification (401) |
| crt.sh %.mondeikin.com | 2026-10-24 | 2 entrées, certificat joker Let's Encrypt du 2026-07-15 17:39 UTC |
| RDAP mondeikin.com (Verisign) | 2026-10-24 | Enregistré 2026-07-15 18:34:28 UTC, expiration 2027-07-15, registraire NiceNIC, serveurs de noms NS1/NS2.ERANS.RU |
| DNS over HTTPS (Cloudflare) mondeikin.com, chat.mondeikin.com, ghost-relay.stk-cdn-07.workers.dev | 2026-10-24 | mondeikin.com et chat.mondeikin.com : 23.132.164.199 ; ghost-relay : 188.114.96.2 et 188.114.97.2 ; stk-cdn-07.workers.dev sans enregistrement A |
| RDAP ARIN 23.132.164.199 et RIPEstat | 2026-10-24 | TENGIG-NET (23.132.164.0/24), Netiface America, hébergeur 10GIG.HOST (Zurich), bloc enregistré 2026-09-12, AS401626 |
| urlscan.io page.ip:23.132.164.199 | 2026-10-24 | 13 résultats du 2026-10-20 au 2026-10-23 sur cinq domaines (hameçonnage, télémétrie), hébergement partagé, aucun lien établi |
| urlscan.io domain:mondeikin.com et domain:stk-cdn-07.workers.dev | 2026-10-24 | 0 résultat |
| crt.sh %.stk-cdn-07.workers.dev | 2026-10-24 | Certificat joker du 2026-08-02, aucun autre nom visible |
| Wayback (CDX) mondeikin.com et stk-cdn-07.workers.dev | 2026-10-24 | Aucune capture |
| ThreatFox karabas.corp, chat.mondeikin.com, ghost-relay.stk-cdn-07.workers.dev | 2026-10-24 | 1 IOC chacun, botnet_cc, famille inconnue, saisis le 2026-10-20 par SOCRadarSTRU |
| ransomlook /api/group/inc%20ransom, lynx, sinobi | 2026-10-24 | 25 valeurs aléatoires distinctes pour INC, 22 pour Lynx, 4 pour Sinobi ; les 39 identifiants de kits historiques ont leur valeur sur le blog de leur marque ; les trois lots de 2026 portent 9cd108bf26 |
| urlscan.io page.title "StackPath - Edge Services" et "Sign in Payroll Portal" | 2026-10-24 | 3 et 2 scans, uniquement system-strategy.org et les deux sous-domaines de 13rzip.ru déjà connus ; l'API de résultat exige un compte (« not logged in ») |
| Wayback CDX incblog.su (domaine, 1 par mois) | 2026-10-24 | 4 captures : racine (2024-06-22, 416 octets), police (2025-01-07), publication /blog/disclosures/6789a993038775d378af8723 (2025-04-09) dont la valeur aléatoire 038775d378 est celle de l'instance INC de janvier à février 2025, icône (2024-06-22) |
| ransomware.live API v2 | 2026-10-24 | clé d'API désormais requise, non utilisée |
| VirusTotal API v3 (lecture seule) : resolutions, fichiers qui communiquent, sous-domaines, objets, relations de fichiers hors lot | 2026-10-24 | 14 domaines, 11 adresses, 6 adresses additionnelles de mondeikin.com, 12 fichiers hors lot, 3 pistes de domaine ; sorties dans osint/vt/ ; plus ancien implant relie compile le 2026-05-02 00:45 UTC, 14 minutes apres l'enregistrement de system-strategy.org |
| crt.sh 45.227.254.45.sslip.io et 179-60-149-68.nip.io | 2026-10-24 | aucune entree |
| RDAP inc-group.org | 2026-10-24 | enregistre 2026-05-29, Key-Systems, serveurs de noms Cloudflare anahi et sullivan (autre paire que coco et remy) |
| Triage API v0 (lecture seule) : recherche par SHA-256 des 114 fichiers du lot et de 10 fichiers hors lot | 2026-10-24 | 114 sur 114 ont au moins un rapport ; 1 fichier hors lot (audio.exe) ; 141 rapports distincts ; rapports dans osint/triage_api/, jetons de bots Telegram masqués |
| Triage : captures réseau (PCAP) de 11 échantillons | 2026-10-24 | certificats auto-signés des serveurs RevSocks lus dans les poignées de main TLS 1.2 ; aucune charge transférée ; hub 45.227.254.45:8000 sans réponse au SYN |