Pentagram : outil automatisé d'acquisition de comptes VPN ciblant Fortinet, Cisco et autres

🔍 Contexte

Article publié le 3 avril 2026 par Tammy Harper, Senior Threat Intelligence Researcher chez Flare.io, sur LinkedIn. L’article présente une analyse technique d’un outil offensif commercial nommé Pentagram, commercialisé comme solution automatisée d’acquisition de comptes VPN d’entreprise.

🛠️ Description de l’outil

Pentagram est une plateforme modulaire composée d’un panel web centralisé et de workers distribués. La communication backend s’effectue via I2P pour assurer l’anonymat de l’opérateur. Les binaires distribués incluent pentagram.exe et i2pd.exe.

Le système est vendu selon un modèle tarifaire modulaire :

• Dashboard : 50 $/mois
• Worker (Brute force) : 25 $/mois
• Worker (Scan) : 50 $/mois
• Worker (VPN Checker) : 50 $/mois

⚙️ Chaîne d’attaque automatisée

1. Scan massif via Masscan sur les ports 443, 8443, 10443 (services d’accès distant)
2. Fingerprinting de services via HTTPX et intégration Shodan pour cibler des équipements spécifiques
3. Brute force de credentials via un module intégré utilisant des listes login/mot de passe uploadées
4. Validation d’accès VPN : tentative d’authentification sur les endpoints découverts
5. Énumération interne : génération de rapports structurés incluant hôtes, domaines, partages réseau, utilisateurs, comptes Kerberoastables

🎯 Vendeurs ciblés

Fortinet, Cisco, Pulse Secure, Palo Alto, F5, Juniper, Citrix, VMware, RDWeb

📊 Type d’article

Il s’agit d’une analyse de menace publiée par un chercheur en threat intelligence, visant à documenter les capacités techniques d’un outil offensif commercial émergent destiné à l’acquisition automatisée d’accès VPN d’entreprise.

🧠 TTPs et IOCs détectés

TTP

• T1595.001 — Active Scanning: Scanning IP Blocks (Reconnaissance)
• T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)
• T1596.005 — Search Open Technical Databases: Scan Databases (Reconnaissance)
• T1110.001 — Brute Force: Password Guessing (Credential Access)
• T1110.004 — Brute Force: Credential Stuffing (Credential Access)
• T1133 — External Remote Services (Initial Access)
• T1018 — Remote System Discovery (Discovery)
• T1135 — Network Share Discovery (Discovery)
• T1087 — Account Discovery (Discovery)
• T1558.003 — Steal or Forge Kerberos Tickets: Kerberoasting (Credential Access)

IOC

• Fichiers : pentagram.exe
• Fichiers : i2pd.exe

Malware / Outils

• Pentagram (framework)
• Masscan (tool)
• HTTPX (tool)
• i2pd (tool)

🟡 Indice de vérification factuelle : 46/100 (moyenne)

• ⬜ linkedin.com — source non référencée (0pts)
• ✅ 4567 chars — texte complet (fulltext extrait) (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 10 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.linkedin.com/pulse/emerging-threat-pentagram-automated-account-tool-tammy-harper-naqze/