Comptes, canaux et identifiants liés à l'opération (liste, sans contact)
Cette liste recense des identifiants lus dans le code, dans la blockchain publique et dans des rapports publics. Aucun de ces comptes, canaux, bots ou serveurs n'a été contacté. Un identifiant cité par une source n'est pas une preuve de lien : la colonne « Confiance » indique ce qui est établi par cette analyse (établi), repris d'une source publique (source) ou simplement mentionné (piste).
1. Comptes GitHub jetables (55)
Cités par le marqueur de fabrication des builds Salat ; tous répondent encore (HTTP 200) ; créés en trois vagues automatisées. Confiance : établi (lien avec les binaires), nature « jetable » par déduction. Détail et dépôts : osint/github_accounts.csv.
| Compte |
Créé le (UTC) |
Dépôts publics |
Builds liés |
Dernière mise à jour d'un dépôt |
VeteranAmend |
2026-08-18T02:21:21 |
4 |
4 |
2026-10-29T20:37 |
ModuleProtector |
2026-08-18T03:00:00 |
4 |
2 |
2026-10-29T20:40 |
Retroundefend |
2026-08-18T03:01:47 |
4 |
1 |
2026-10-29T20:49 |
ExpertCoupling |
2026-08-18T03:02:39 |
4 |
4 |
2026-10-29T20:52 |
naturalfinchname4 |
2026-08-18T03:02:47 |
4 |
2 |
2026-10-29T20:58 |
Tensorshograb |
2026-08-18T03:05:07 |
4 |
4 |
2026-10-29T21:02 |
TremorSteersmanPier |
2026-08-23T02:30:18 |
1 |
3 |
2026-10-10T18:54 |
MonarchEmancipate |
2026-08-23T02:30:40 |
3 |
3 |
2026-10-10T19:07 |
ringdesignerlaud |
2026-08-23T02:30:46 |
1 |
1 |
2026-10-10T19:04 |
phasehornethover |
2026-08-23T02:31:48 |
3 |
7 |
2026-10-10T19:16 |
TerminusTyrant12 |
2026-08-23T02:32:33 |
3 |
3 |
2026-10-10T19:13 |
Blockadeeuclip |
2026-08-23T02:32:41 |
3 |
2 |
2026-10-10T19:22 |
crimsonstreamfire |
2026-08-23T02:34:07 |
3 |
4 |
2026-10-10T19:31 |
Infernalzeregister |
2026-08-23T02:34:17 |
3 |
2 |
2026-10-10T19:28 |
WindRockEmancipate |
2026-08-23T02:34:50 |
3 |
3 |
2026-10-10T19:25 |
boulderlightningshop |
2026-08-23T02:34:58 |
3 |
5 |
2026-10-10T20:23 |
NetTellerHope |
2026-08-23T02:36:09 |
3 |
2 |
2026-10-10T20:18 |
Blackgrotalk |
2026-08-23T02:36:41 |
3 |
3 |
2026-10-10T20:15 |
Griffinaidarn |
2026-08-23T02:36:51 |
3 |
2 |
2026-10-10T20:26 |
Tributarylojump |
2026-08-23T02:37:57 |
3 |
3 |
2026-10-10T19:34 |
Quartzarview27 |
2026-08-23T02:38:26 |
3 |
3 |
2026-10-10T19:40 |
ScarletParrot |
2026-08-23T02:39:03 |
3 |
4 |
2026-10-10T20:01 |
OutsideSharkStride |
2026-08-23T02:39:05 |
3 |
5 |
2026-10-10T19:37 |
VictorBowyer30 |
2026-08-23T02:39:43 |
3 |
4 |
2026-10-10T19:43 |
Trackerenhonor |
2026-08-23T02:40:07 |
3 |
4 |
2026-10-10T19:46 |
Playiesculpt |
2026-08-23T02:41:00 |
3 |
5 |
2026-10-10T19:52 |
ConureSubway |
2026-08-23T02:41:43 |
3 |
2 |
2026-10-10T19:58 |
ToadCultivate |
2026-08-23T02:42:49 |
3 |
4 |
2026-10-10T20:32 |
SteepleStoryPliers21 |
2026-09-08T01:55:34 |
4 |
5 |
2026-10-10T20:47 |
AxolotlMemorialize |
2026-09-08T01:55:48 |
4 |
3 |
2026-10-10T20:50 |
BailiffRectifier |
2026-09-08T01:57:01 |
4 |
6 |
2026-10-10T20:53 |
FinancialCavity |
2026-09-08T01:57:45 |
4 |
3 |
2026-10-10T21:02 |
toothdukedefine |
2026-09-08T01:59:06 |
4 |
6 |
2026-10-10T21:05 |
summitantnote |
2026-09-08T02:00:45 |
4 |
4 |
2026-10-10T21:08 |
orderdentistgive74 |
2026-09-08T02:01:02 |
4 |
3 |
2026-10-10T21:10 |
Exadreagitate |
2026-09-08T02:02:01 |
4 |
1 |
2026-10-10T21:13 |
storageiguanatomb |
2026-09-08T02:02:20 |
4 |
5 |
2026-10-10T21:19 |
recordchainspindle |
2026-09-08T02:02:33 |
4 |
4 |
2026-10-10T21:23 |
CommercialDominate |
2026-09-08T02:04:31 |
4 |
2 |
2026-10-10T21:29 |
InletEchoShift |
2026-09-08T02:06:18 |
3 |
1 |
2026-10-10T21:37 |
BrickSwimmer |
2026-09-08T02:06:20 |
4 |
2 |
2026-10-10T21:35 |
ShellTurbine |
2026-09-08T02:07:04 |
4 |
4 |
2026-10-10T21:46 |
Portaltruchart58 |
2026-09-08T02:07:49 |
2 |
1 |
2026-10-10T21:59 |
HiddenBusinessChaos |
2026-09-08T02:13:31 |
4 |
1 |
2026-10-10T21:55 |
gryphonpantherturn |
2026-09-08T02:18:01 |
4 |
2 |
2026-10-10T22:12 |
lighttoadmonitor |
2026-09-08T02:19:47 |
4 |
3 |
2026-10-10T22:15 |
Basiliskatrage |
2026-09-08T02:21:43 |
4 |
3 |
2026-10-10T22:27 |
separatecastermarch |
2026-09-08T02:24:30 |
4 |
5 |
2026-10-10T22:33 |
Torrentacrosslast |
2026-09-08T02:24:48 |
4 |
2 |
2026-10-10T22:36 |
Followerousound |
2026-09-08T02:25:30 |
4 |
2 |
2026-10-10T22:39 |
hypercashiermenhir |
2026-09-08T02:27:16 |
4 |
5 |
2026-10-10T22:53 |
FieldWizardEnergy |
2026-09-08T02:27:28 |
4 |
1 |
2026-10-10T22:50 |
AlbatrossDuct |
2026-09-08T02:28:14 |
4 |
6 |
2026-10-10T22:56 |
CashierAdvance |
2026-09-08T02:28:41 |
4 |
4 |
2026-10-10T23:02 |
TrackBakerPropagate |
2026-09-08T02:29:10 |
4 |
4 |
2026-10-10T23:11 |
Autres comptes ou pages GitHub cités :
| Identifiant |
Rôle |
État |
Confiance |
gigaempressclip |
héberge cbnoqxdb/releases/.../service.exe (seconde charge du chargeur 5q7z) |
introuvable (HTTP 404) |
établi |
EmpressRecognize22 |
héberge Ai/releases/.../service.exe (seconde charge du chargeur rogw) |
introuvable (HTTP 404) |
établi |
websalat |
compte qui aurait hébergé 7z.exe et ffmpeg.exe (CYFIRMA) |
introuvable (HTTP 404) |
source |
nyashteam |
recherché par déduction du nom du groupe |
introuvable (HTTP 404) |
piste |
flowseal |
libellé utilisé comme propriétaire dans 14 builds ; nom d'un auteur légitime d'outils de contournement, donc usurpation probable (compte non vérifié) |
non vérifié |
piste |
systemxinfo.github.io/zapret-discord |
page de téléchargement imitant un outil de contournement (rapport ANY.RUN public) |
non vérifié |
source |
2. Groupes, pseudonymes et canaux Telegram cités
| Identifiant |
Nature |
Source |
Confiance |
| NyashTeam |
groupe qui développe et vend WebRat et DCRat par des bots Telegram |
CYFIRMA (2025), Solar 4RAYS (2026-09-24), F6, The Record |
source |
| Kapchenka |
groupe cité avec NyashTeam comme gestionnaire du panneau |
CYFIRMA seul |
piste |
nyashsupbot |
identifiant de bot Telegram de support (chaîne de la règle YARA de CYFIRMA) ; absent des builds examinés |
CYFIRMA |
piste |
PalachPro |
canal Telegram qui couvre les personnes auxquelles CERT-UA relie la campagne UAC-0252 (SHADOWSNIFF et SALATSTEALER) ; aucun lien établi avec NyashTeam |
CERT-UA#20032 (lue à la source, 2026-03-02) |
source |
ilyaz |
nom d'utilisateur dans un chemin de débogage de certains échantillons anciens de WebRat |
Solar 4RAYS (2025), non attribué |
piste |
| FriDMan, Glagol, abobka |
pseudonymes d'abonnés ou de « Friends » dans le panneau (clients, non opérateurs) |
CYFIRMA |
piste |
| Confman, Businessman |
deux groupes clients de NyashTeam |
F6 |
piste |
| Bots Telegram de vente, de support et de paiement |
existent, noms non publiés |
CYFIRMA, F6 |
source |
| Canal Telegram de distributeurs |
existe, nom non publié |
Solar 4RAYS (2025) |
source |
| Canal Telegram du code source de WebRat |
retiré à la demande de F6, nom non publié |
F6 |
source |
| Quatre vidéos de formation sur YouTube |
retirées, liens non publiés |
F6, Solar 4RAYS |
source |
Recherches sans résultat : liens t.me, jetons de bots, webhooks Discord, adresses .onion, courriels et comptes de messagerie dans 446 fichiers distincts ; identifiants de forums ; panneau et contacts de support (affichés dans le panneau, non publiés). Moyens de paiement cités par CYFIRMA : Cryptobot, RUCARD, LOLZ, skins Steam. Tarifs : WebRat 1199 roubles par mois (CYFIRMA, F6), environ 1500 roubles de licence (Solar 4RAYS), hébergement 999 roubles pour deux mois.
3. Domaines
| Famille |
Domaines |
Source |
| C2 de Salat, versions actuelles |
salator.es, wruser.org, websalat.top, sa1atik.cn |
extraits des binaires |
| C2 de Salat, versions antérieures |
salat.cn, wrat.in, salator.ru, sa1at.ru |
binaires (les trois premiers), F6 et Solar (sa1at.ru) |
| Relais TON |
policlinika.top (valeur du dead drop au 2026-10-28) |
blockchain TON |
| Noms TON |
webratpanel.ton, remoteadministratortool.ton, webratxaye1.ton, shyetootval.ton |
binaires et blockchain |
| Panneau WebRat |
webr.at, webrat.in, webrat.ru, webrat.su, webrat.top, mx.webrat.ru |
CYFIRMA, Solar, F6 |
| Domaines de NyashTeam, motifs de F6 |
nyash.team, nyashteam.ru, nyashteam.top, nyashteam.site, n9sh.top, n9shteam.ru, n9shteam.in, devnyash.top, strpsils.top, et plus de cent autres |
F6 (liste complète dans son rapport) |
| Domaines de F6 recoupant Salat |
sa1at.ru, webr.at, webrat.ru, webrat.su, webrat.top, posholnahuy.ru, pidorasina.ru |
F6 et CYFIRMA |
4. Adresses TON
| Rôle |
Adresse brute |
Source / confiance |
Propriétaire de webratpanel.ton et shyetootval.ton |
0:4b6528fe01c2432bb466a44b02b38353d194162eab604e1a0cae8498fcfba4cc |
blockchain, Solar : établi |
Propriétaire de remoteadministratortool.ton |
0:340fed05db6af0fe6f7d45a804a75dc27a250ce628c9f1e2e26d530f4d43dddc |
blockchain, Solar : établi |
Propriétaire de webratxaye1.ton |
0:108b0a5fe91398b3616835c5f30b4ccb3c4af90176a7ec982e32f94f5f5476aa |
blockchain, Solar : établi |
| Paiement jusqu'en mai 2026, a déployé le premier NFT DNS |
0:c441f18d6f9ffe8ba3e4f329af8501fb311fab5f0efb7e96d925f791a89e0451 |
blockchain, Solar : établi |
| Paiement de janvier à juin 2026 |
0:54b303f5e076058dde5ac21fdcd2f0996b152791fa7da519c9a30512c0cca8b8 |
blockchain, Solar : établi |
| Conduit : reçoit les fonds déplacés le 17 mai, verse aux dépôts d'un échange |
0:0e4d1a5a0f677f732ab70b06196a3902420c930bdf5069b7dd1eeb4283713119 |
blockchain, Solar : établi pour le lien, non pour l'exclusivité |
| Portefeuille de conservation : convertit des TON en USDT, 5 456 USDT détenus au 2026-10-31 |
0:8d6cf0f7d3af5d9c8fe82e8fec8a6603455e5900e55d7502a3e531bdcbfa3f3d |
blockchain : établi (l'adresse publiée par Solar, lue par mon outil, diffère d'un caractère) |
Destinataires des sorties du conduit, étiquetés par l'explorateur public (tonapi.io) comme portefeuilles de dépôt d'un échange :
| Adresse brute |
USDT reçus |
TON reçus |
0:4a1c20bc9a6f9294f75f1c87a7f383a8b73a483a2e6dcb3630ddbe78b3ccad00 |
56458 |
0 |
0:7d133d4e425c8e00de015513a44e66e6d163b21e71720aec7579965e5de28c55 |
50039 |
0 |
0:7f97f36dda3f7dedc9e12f8c09c4f89e7fbc17527ab3f67de4c3b155297a56e4 |
0 |
21065 |
0:f2dc1860686cd658987e2bed8216532d8c004460dadea907cc7d4ad7236c496b |
0 |
18847 |
5. Adresses IP
| Adresse |
Rôle |
Réseau |
62.109.0.189 |
hôte du panneau (CYFIRMA) ; première valeur du dead drop (2025-07-01) |
AS29182 JSC IOT |
141.95.112.163 |
résolution de webr.at ; valeur de repli ThreatFox 2026-10-11 |
AS16276 OVH |
91.142.75.172, 217.26.28.234, 168.222.202.171 |
valeurs successives du dead drop (2025-11 à 2026-08) |
AS48282, AS198610, AS44112 |
196.196.208.17, 196.196.208.18, 195.208.21.65 |
C2 actuels (octobre 2026) |
AS58065, AS44112 |
46.173.27.15 |
origine de salator.es et sa1atik.cn |
AS198610 Beget |
64.204.180.24, 109.237.98.213, 185.103.164.74 |
anciennes valeurs de repli, anciens hébergements de sa1atik.cn |
divers |
209.141.54.188 |
port 992 saisi dans ThreatFox le 2026-10-30 |
AS53667 Frantech |
77.239.96.159 |
C2 du RAT Python (TCP 4444), famille distincte |
AS216127 |