# Comptes, canaux et identifiants liés à l'opération (liste, sans contact)

Cette liste recense des identifiants lus dans le code, dans la blockchain publique et dans des rapports publics. **Aucun de ces comptes, canaux, bots ou serveurs n'a été contacté.** Un identifiant cité par une source n'est pas une preuve de lien : la colonne « Confiance » indique ce qui est établi par cette analyse (**établi**), repris d'une source publique (**source**) ou simplement mentionné (**piste**).

## 1. Comptes GitHub jetables (55)

Cités par le marqueur de fabrication des builds Salat ; tous répondent encore (HTTP 200) ; créés en trois vagues automatisées. Confiance : **établi** (lien avec les binaires), nature « jetable » par déduction. Détail et dépôts : `osint/github_accounts.csv`.

| Compte | Créé le (UTC) | Dépôts publics | Builds liés | Dernière mise à jour d'un dépôt |
|---|---|---|---|---|
| `VeteranAmend` | 2026-08-18T02:21:21 | 4 | 4 | 2026-10-29T20:37 |
| `ModuleProtector` | 2026-08-18T03:00:00 | 4 | 2 | 2026-10-29T20:40 |
| `Retroundefend` | 2026-08-18T03:01:47 | 4 | 1 | 2026-10-29T20:49 |
| `ExpertCoupling` | 2026-08-18T03:02:39 | 4 | 4 | 2026-10-29T20:52 |
| `naturalfinchname4` | 2026-08-18T03:02:47 | 4 | 2 | 2026-10-29T20:58 |
| `Tensorshograb` | 2026-08-18T03:05:07 | 4 | 4 | 2026-10-29T21:02 |
| `TremorSteersmanPier` | 2026-08-23T02:30:18 | 1 | 3 | 2026-10-10T18:54 |
| `MonarchEmancipate` | 2026-08-23T02:30:40 | 3 | 3 | 2026-10-10T19:07 |
| `ringdesignerlaud` | 2026-08-23T02:30:46 | 1 | 1 | 2026-10-10T19:04 |
| `phasehornethover` | 2026-08-23T02:31:48 | 3 | 7 | 2026-10-10T19:16 |
| `TerminusTyrant12` | 2026-08-23T02:32:33 | 3 | 3 | 2026-10-10T19:13 |
| `Blockadeeuclip` | 2026-08-23T02:32:41 | 3 | 2 | 2026-10-10T19:22 |
| `crimsonstreamfire` | 2026-08-23T02:34:07 | 3 | 4 | 2026-10-10T19:31 |
| `Infernalzeregister` | 2026-08-23T02:34:17 | 3 | 2 | 2026-10-10T19:28 |
| `WindRockEmancipate` | 2026-08-23T02:34:50 | 3 | 3 | 2026-10-10T19:25 |
| `boulderlightningshop` | 2026-08-23T02:34:58 | 3 | 5 | 2026-10-10T20:23 |
| `NetTellerHope` | 2026-08-23T02:36:09 | 3 | 2 | 2026-10-10T20:18 |
| `Blackgrotalk` | 2026-08-23T02:36:41 | 3 | 3 | 2026-10-10T20:15 |
| `Griffinaidarn` | 2026-08-23T02:36:51 | 3 | 2 | 2026-10-10T20:26 |
| `Tributarylojump` | 2026-08-23T02:37:57 | 3 | 3 | 2026-10-10T19:34 |
| `Quartzarview27` | 2026-08-23T02:38:26 | 3 | 3 | 2026-10-10T19:40 |
| `ScarletParrot` | 2026-08-23T02:39:03 | 3 | 4 | 2026-10-10T20:01 |
| `OutsideSharkStride` | 2026-08-23T02:39:05 | 3 | 5 | 2026-10-10T19:37 |
| `VictorBowyer30` | 2026-08-23T02:39:43 | 3 | 4 | 2026-10-10T19:43 |
| `Trackerenhonor` | 2026-08-23T02:40:07 | 3 | 4 | 2026-10-10T19:46 |
| `Playiesculpt` | 2026-08-23T02:41:00 | 3 | 5 | 2026-10-10T19:52 |
| `ConureSubway` | 2026-08-23T02:41:43 | 3 | 2 | 2026-10-10T19:58 |
| `ToadCultivate` | 2026-08-23T02:42:49 | 3 | 4 | 2026-10-10T20:32 |
| `SteepleStoryPliers21` | 2026-09-08T01:55:34 | 4 | 5 | 2026-10-10T20:47 |
| `AxolotlMemorialize` | 2026-09-08T01:55:48 | 4 | 3 | 2026-10-10T20:50 |
| `BailiffRectifier` | 2026-09-08T01:57:01 | 4 | 6 | 2026-10-10T20:53 |
| `FinancialCavity` | 2026-09-08T01:57:45 | 4 | 3 | 2026-10-10T21:02 |
| `toothdukedefine` | 2026-09-08T01:59:06 | 4 | 6 | 2026-10-10T21:05 |
| `summitantnote` | 2026-09-08T02:00:45 | 4 | 4 | 2026-10-10T21:08 |
| `orderdentistgive74` | 2026-09-08T02:01:02 | 4 | 3 | 2026-10-10T21:10 |
| `Exadreagitate` | 2026-09-08T02:02:01 | 4 | 1 | 2026-10-10T21:13 |
| `storageiguanatomb` | 2026-09-08T02:02:20 | 4 | 5 | 2026-10-10T21:19 |
| `recordchainspindle` | 2026-09-08T02:02:33 | 4 | 4 | 2026-10-10T21:23 |
| `CommercialDominate` | 2026-09-08T02:04:31 | 4 | 2 | 2026-10-10T21:29 |
| `InletEchoShift` | 2026-09-08T02:06:18 | 3 | 1 | 2026-10-10T21:37 |
| `BrickSwimmer` | 2026-09-08T02:06:20 | 4 | 2 | 2026-10-10T21:35 |
| `ShellTurbine` | 2026-09-08T02:07:04 | 4 | 4 | 2026-10-10T21:46 |
| `Portaltruchart58` | 2026-09-08T02:07:49 | 2 | 1 | 2026-10-10T21:59 |
| `HiddenBusinessChaos` | 2026-09-08T02:13:31 | 4 | 1 | 2026-10-10T21:55 |
| `gryphonpantherturn` | 2026-09-08T02:18:01 | 4 | 2 | 2026-10-10T22:12 |
| `lighttoadmonitor` | 2026-09-08T02:19:47 | 4 | 3 | 2026-10-10T22:15 |
| `Basiliskatrage` | 2026-09-08T02:21:43 | 4 | 3 | 2026-10-10T22:27 |
| `separatecastermarch` | 2026-09-08T02:24:30 | 4 | 5 | 2026-10-10T22:33 |
| `Torrentacrosslast` | 2026-09-08T02:24:48 | 4 | 2 | 2026-10-10T22:36 |
| `Followerousound` | 2026-09-08T02:25:30 | 4 | 2 | 2026-10-10T22:39 |
| `hypercashiermenhir` | 2026-09-08T02:27:16 | 4 | 5 | 2026-10-10T22:53 |
| `FieldWizardEnergy` | 2026-09-08T02:27:28 | 4 | 1 | 2026-10-10T22:50 |
| `AlbatrossDuct` | 2026-09-08T02:28:14 | 4 | 6 | 2026-10-10T22:56 |
| `CashierAdvance` | 2026-09-08T02:28:41 | 4 | 4 | 2026-10-10T23:02 |
| `TrackBakerPropagate` | 2026-09-08T02:29:10 | 4 | 4 | 2026-10-10T23:11 |

Autres comptes ou pages GitHub cités :

| Identifiant | Rôle | État | Confiance |
|---|---|---|---|
| `gigaempressclip` | héberge `cbnoqxdb/releases/.../service.exe` (seconde charge du chargeur `5q7z`) | introuvable (HTTP 404) | établi |
| `EmpressRecognize22` | héberge `Ai/releases/.../service.exe` (seconde charge du chargeur `rogw`) | introuvable (HTTP 404) | établi |
| `websalat` | compte qui aurait hébergé 7z.exe et ffmpeg.exe (CYFIRMA) | introuvable (HTTP 404) | source |
| `nyashteam` | recherché par déduction du nom du groupe | introuvable (HTTP 404) | piste |
| `flowseal` | libellé utilisé comme propriétaire dans 14 builds ; nom d'un auteur légitime d'outils de contournement, donc usurpation probable (compte non vérifié) | non vérifié | piste |
| `systemxinfo.github.io/zapret-discord` | page de téléchargement imitant un outil de contournement (rapport ANY.RUN public) | non vérifié | source |

## 2. Groupes, pseudonymes et canaux Telegram cités

| Identifiant | Nature | Source | Confiance |
|---|---|---|---|
| NyashTeam | groupe qui développe et vend WebRat et DCRat par des bots Telegram | CYFIRMA (2025), Solar 4RAYS (2026-09-24), F6, The Record | source |
| Kapchenka | groupe cité avec NyashTeam comme gestionnaire du panneau | CYFIRMA seul | piste |
| `nyashsupbot` | identifiant de bot Telegram de support (chaîne de la règle YARA de CYFIRMA) ; absent des builds examinés | CYFIRMA | piste |
| `PalachPro` | canal Telegram qui couvre les personnes auxquelles CERT-UA relie la campagne UAC-0252 (SHADOWSNIFF et SALATSTEALER) ; aucun lien établi avec NyashTeam | CERT-UA#20032 (lue à la source, 2026-03-02) | source |
| `ilyaz` | nom d'utilisateur dans un chemin de débogage de certains échantillons anciens de WebRat | Solar 4RAYS (2025), non attribué | piste |
| FriDMan, Glagol, abobka | pseudonymes d'abonnés ou de « Friends » dans le panneau (clients, non opérateurs) | CYFIRMA | piste |
| Confman, Businessman | deux groupes clients de NyashTeam | F6 | piste |
| Bots Telegram de vente, de support et de paiement | existent, noms non publiés | CYFIRMA, F6 | source |
| Canal Telegram de distributeurs | existe, nom non publié | Solar 4RAYS (2025) | source |
| Canal Telegram du code source de WebRat | retiré à la demande de F6, nom non publié | F6 | source |
| Quatre vidéos de formation sur YouTube | retirées, liens non publiés | F6, Solar 4RAYS | source |

Recherches sans résultat : liens `t.me`, jetons de bots, webhooks Discord, adresses `.onion`, courriels et comptes de messagerie dans 446 fichiers distincts ; identifiants de forums ; panneau et contacts de support (affichés dans le panneau, non publiés). Moyens de paiement cités par CYFIRMA : Cryptobot, RUCARD, LOLZ, skins Steam. Tarifs : WebRat 1199 roubles par mois (CYFIRMA, F6), environ 1500 roubles de licence (Solar 4RAYS), hébergement 999 roubles pour deux mois.

## 3. Domaines

| Famille | Domaines | Source |
|---|---|---|
| C2 de Salat, versions actuelles | `salator.es`, `wruser.org`, `websalat.top`, `sa1atik.cn` | extraits des binaires |
| C2 de Salat, versions antérieures | `salat.cn`, `wrat.in`, `salator.ru`, `sa1at.ru` | binaires (les trois premiers), F6 et Solar (`sa1at.ru`) |
| Relais TON | `policlinika.top` (valeur du dead drop au 2026-10-28) | blockchain TON |
| Noms TON | `webratpanel.ton`, `remoteadministratortool.ton`, `webratxaye1.ton`, `shyetootval.ton` | binaires et blockchain |
| Panneau WebRat | `webr.at`, `webrat.in`, `webrat.ru`, `webrat.su`, `webrat.top`, `mx.webrat.ru` | CYFIRMA, Solar, F6 |
| Domaines de NyashTeam, motifs de F6 | `nyash.team`, `nyashteam.ru`, `nyashteam.top`, `nyashteam.site`, `n9sh.top`, `n9shteam.ru`, `n9shteam.in`, `devnyash.top`, `strpsils.top`, et plus de cent autres | F6 (liste complète dans son rapport) |
| Domaines de F6 recoupant Salat | `sa1at.ru`, `webr.at`, `webrat.ru`, `webrat.su`, `webrat.top`, `posholnahuy.ru`, `pidorasina.ru` | F6 et CYFIRMA |

## 4. Adresses TON

| Rôle | Adresse brute | Source / confiance |
|---|---|---|
| Propriétaire de `webratpanel.ton` et `shyetootval.ton` | `0:4b6528fe01c2432bb466a44b02b38353d194162eab604e1a0cae8498fcfba4cc` | blockchain, Solar : établi |
| Propriétaire de `remoteadministratortool.ton` | `0:340fed05db6af0fe6f7d45a804a75dc27a250ce628c9f1e2e26d530f4d43dddc` | blockchain, Solar : établi |
| Propriétaire de `webratxaye1.ton` | `0:108b0a5fe91398b3616835c5f30b4ccb3c4af90176a7ec982e32f94f5f5476aa` | blockchain, Solar : établi |
| Paiement jusqu'en mai 2026, a déployé le premier NFT DNS | `0:c441f18d6f9ffe8ba3e4f329af8501fb311fab5f0efb7e96d925f791a89e0451` | blockchain, Solar : établi |
| Paiement de janvier à juin 2026 | `0:54b303f5e076058dde5ac21fdcd2f0996b152791fa7da519c9a30512c0cca8b8` | blockchain, Solar : établi |
| Conduit : reçoit les fonds déplacés le 17 mai, verse aux dépôts d'un échange | `0:0e4d1a5a0f677f732ab70b06196a3902420c930bdf5069b7dd1eeb4283713119` | blockchain, Solar : établi pour le lien, non pour l'exclusivité |
| Portefeuille de conservation : convertit des TON en USDT, 5 456 USDT détenus au 2026-10-31 | `0:8d6cf0f7d3af5d9c8fe82e8fec8a6603455e5900e55d7502a3e531bdcbfa3f3d` | blockchain : établi (l'adresse publiée par Solar, lue par mon outil, diffère d'un caractère) |

Destinataires des sorties du conduit, étiquetés par l'explorateur public (tonapi.io) comme portefeuilles de dépôt d'un échange :

| Adresse brute | USDT reçus | TON reçus |
|---|---|---|
| `0:4a1c20bc9a6f9294f75f1c87a7f383a8b73a483a2e6dcb3630ddbe78b3ccad00` | 56458 | 0 |
| `0:7d133d4e425c8e00de015513a44e66e6d163b21e71720aec7579965e5de28c55` | 50039 | 0 |
| `0:7f97f36dda3f7dedc9e12f8c09c4f89e7fbc17527ab3f67de4c3b155297a56e4` | 0 | 21065 |
| `0:f2dc1860686cd658987e2bed8216532d8c004460dadea907cc7d4ad7236c496b` | 0 | 18847 |

## 5. Adresses IP

| Adresse | Rôle | Réseau |
|---|---|---|
| `62.109.0.189` | hôte du panneau (CYFIRMA) ; première valeur du dead drop (2025-07-01) | AS29182 JSC IOT |
| `141.95.112.163` | résolution de `webr.at` ; valeur de repli ThreatFox 2026-10-11 | AS16276 OVH |
| `91.142.75.172`, `217.26.28.234`, `168.222.202.171` | valeurs successives du dead drop (2025-11 à 2026-08) | AS48282, AS198610, AS44112 |
| `196.196.208.17`, `196.196.208.18`, `195.208.21.65` | C2 actuels (octobre 2026) | AS58065, AS44112 |
| `46.173.27.15` | origine de `salator.es` et `sa1atik.cn` | AS198610 Beget |
| `64.204.180.24`, `109.237.98.213`, `185.103.164.74` | anciennes valeurs de repli, anciens hébergements de `sa1atik.cn` | divers |
| `209.141.54.188` | port 992 saisi dans ThreatFox le 2026-10-30 | AS53667 Frantech |
| `77.239.96.159` | C2 du RAT Python (TCP 4444), famille distincte | AS216127 |