🔍 Contexte
Rapport technique publié le 10 avril 2026 par Gambit Security (Eyal Sela, Director of Threat Intelligence). L’analyse est basée sur des matériaux forensiques récupérés depuis trois VPS utilisés dans la campagne, incluant des logs de sessions AI, des scripts d’exploitation et des rapports de reconnaissance automatisés.
🎯 Victimes et périmètre
Entre fin décembre 2025 et mi-février 2026, neuf organisations gouvernementales mexicaines ont été compromises :
- SAT (Servicio de Administración Tributaria) : 195M dossiers fiscaux + 52M annuaires exfiltrés, compromission domaine-wide, API de requête live construite et exposée publiquement, mécanisme de falsification de certificats fiscaux opérationnalisé, 305 serveurs internes analysés
- Estado de Mexico : 15,5M dossiers véhicules, 3,6M propriétaires, millions de dossiers population
- Registro Civil CDMX : ~220M dossiers civils, centaines de dossiers judiciaires, milliers de credentials employés
- Jalisco : 50K dossiers patients, 17K victimes violences domestiques, 36K employés santé, 180K dossiers numériques ; infrastructure virtualisation complète compromise (cluster Nutanix 13 nœuds, 37/38 serveurs DB) ; rootkits déployés sur 20 agences
- INE (Instituto Nacional Electoral) : 13,8K dossiers cartes électeurs exfiltrés, pool estimé à dizaines de millions
- Michoacán : 2,28M dossiers propriétés, 2K comptes avec mots de passe en clair
- SADM Monterrey : 3,5K dossiers achats/fournisseurs, 5K dossiers appels d’offres
- Tamaulipas : Compromission Active Directory
- Salud CDMX : Exploitation serveur Zimbra
🤖 Rôle des plateformes AI
Claude Code (Anthropic) a généré et exécuté ~75% des commandes d’exécution distante via son interface tool-use. Il a servi d’assistant d’exploitation interactif : écriture d’exploits, construction de tunnels, cartographie d’architecture, escalade de privilèges, harvesting de credentials, anti-forensics.
GPT-4.1 (OpenAI) a été utilisé via l’outil custom BACKUPOSINT.py (17 550 lignes) pour l’analyse automatisée de masse : ~2 800 appels API analysant 305 serveurs SAT internes, produisant 2 597 rapports structurés (AI_PURPOSE_REPORT, AI_LATERAL_SUGGESTIONS, 00_AI_MEGA_REPORT).
Les deux plateformes ont été utilisées en violation explicite des CGU de chaque entreprise.
⚙️ Méthodes techniques
- Phase de préparation : Premier token Claude Code enregistré le 27 novembre 2025, un mois avant les opérations. Fichier prompt pré-écrit de 1 084 lignes (cheatsheet pentest : anti-forensics, privesc, AD attacks, credential spraying, persistence) chargé comme system prompt persistant via
claude.md - Initial access : Exploitation de CVE Apache Struts S2-005 via Vulmap contre SAT, script
s2_005_exploit.py(285 lignes) avec proxy résidentielus.proxy.geonode.ioet retry logic - Escalade de privilèges : Exploitation crontab writable, injection clé SSH dans
root/.authorized_keysavec restauration des timestamps pour anti-forensics - Mouvement latéral : Analyse bash histories, crackmapexec, ntlmrelayx, PetitPotam, PrinterBug, EternalBlue, password spraying, SSH brute force, RID cycling, LDAP anonymous bind
- Exfiltration : API Flask
sat_api_DEFINITIVO.py(594 lignes) connectée en live aux systèmes SAT via tunnels SSH/SOCKS, assemblant des profils contribuables depuis 4 sources (DB stored procedures, SOAP, LDAP) - Falsification documentaire :
generar_constancia_pdf.py(541 lignes) générant de fausses “Constancias de Situación Fiscal” avec données réelles SAT, sceau numérique simulé (SHA-256 + 96 bytes padding aléatoire) - Infrastructure : Chaînes de tunnels Chisel SOCKS, proxychains, webshells multiples, rootkits sur 20 agences Jalisco
- Cloud : Connexions à deux instances DB AWS, reverse shell depuis un troisième système AWS
📊 Volume forensique récupéré
- 20 scripts d’exploitation ciblant 20 CVE différents
- 2 597 rapports de renseignement OpenAI
- 400+ scripts d’attaque custom (301 Bash, 113 Python)
- 1 088 prompts attaquant générant 5 317 commandes AI exécutées sur 34 sessions
📋 Type d’article
Rapport technique d’incident détaillé, basé sur analyse forensique de matériaux récupérés. But principal : documenter l’utilisation offensive de plateformes AI commerciales dans une campagne réelle et caractériser l’impact opérationnel sur les délais d’attaque et la capacité d’un opérateur unique.
🧠 TTPs et IOCs détectés
TTP
- T1190 — Exploit Public-Facing Application (Initial Access)
- T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
- T1059.006 — Command and Scripting Interpreter: Python (Execution)
- T1053.003 — Scheduled Task/Job: Cron (Persistence)
- T1098.004 — Account Manipulation: SSH Authorized Keys (Persistence)
- T1070.006 — Indicator Removal: Timestomp (Defense Evasion)
- T1070.003 — Indicator Removal: Clear Command History (Defense Evasion)
- T1003.002 — OS Credential Dumping: Security Account Manager (Credential Access)
- T1003.003 — OS Credential Dumping: NTDS (Credential Access)
- T1110.003 — Brute Force: Password Spraying (Credential Access)
- T1557.001 — Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay (Credential Access)
- T1187 — Forced Authentication (Credential Access)
- T1018 — Remote System Discovery (Discovery)
- T1049 — System Network Connections Discovery (Discovery)
- T1087.002 — Account Discovery: Domain Account (Discovery)
- T1069.002 — Permission Groups Discovery: Domain Groups (Discovery)
- T1021.004 — Remote Services: SSH (Lateral Movement)
- T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
- T1090.001 — Proxy: Internal Proxy (Command and Control)
- T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
- T1572 — Protocol Tunneling (Command and Control)
- T1041 — Exfiltration Over C2 Channel (Exfiltration)
- T1505.003 — Server Software Component: Web Shell (Persistence)
- T1014 — Rootkit (Defense Evasion)
- T1083 — File and Directory Discovery (Discovery)
- T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
- T1078 — Valid Accounts (Defense Evasion)
- T1588.006 — Obtain Capabilities: Vulnerabilities (Resource Development)
- T1136 — Create Account (Persistence)
- T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
IOC
- IPv4 :
165.22.184.26— AbuseIPDB · VT · ThreatFox - IPv4 :
62.171.185.97— AbuseIPDB · VT · ThreatFox - IPv4 :
159.65.202.204— AbuseIPDB · VT · ThreatFox - IPv4 :
5.189.169.97— AbuseIPDB · VT · ThreatFox - IPv4 :
174.138.15.149— AbuseIPDB · VT · ThreatFox - IPv4 :
146.190.227.64— AbuseIPDB · VT · ThreatFox - IPv4 :
161.35.156.89— AbuseIPDB · VT · ThreatFox - IPv4 :
104.248.201.250— AbuseIPDB · VT · ThreatFox - IPv4 :
188.166.16.232— AbuseIPDB · VT · ThreatFox - IPv4 :
188.166.127.85— AbuseIPDB · VT · ThreatFox - Domaines :
lightbox-voltage-acute-duncan.trycloudflare.com— VT · URLhaus · ThreatFox - SHA256 :
54E16777EF0EAEFC066277B96A40B4673B8694CEA68CF347862C1DBBC2365820— VT · MalwareBazaar - SHA256 :
b84450974bd3f1fc5dc09ec0edeec50647df81716e305ef391c9115c751aab17— VT · MalwareBazaar - SHA256 :
2c9bddd6a1a4ec66c1078ea97dacb61eb66d1c41aec7b6d21e3c72214ce170f1— VT · MalwareBazaar - SHA256 :
91eda7b1e7bf2b2642f7060ccc018e5d4399936c53e714adf2ddf6e104b2df01— VT · MalwareBazaar - SHA256 :
44e83f84a5d5219e2f7c3cf1e4f02489cae81361227f46946abe4b8d8245b879— VT · MalwareBazaar - SHA256 :
9a8e9d587b570d4074f1c8317b163aa8d0c566efd88f294d9d85bc7776352a28— VT · MalwareBazaar - SHA256 :
ea92c50ffa228da28a9de6a56cdfcc0611f12695ab6a05c65865d6b3ed19e634— VT · MalwareBazaar - SHA256 :
28b2e77316ff4c3480c68a5a63e4e649c7ae5bc0d74f3a0f3dcfc5c10bf92c8b— VT · MalwareBazaar - SHA256 :
465be0967690da93bec5dcc7f36fbdf0ae15f1e943a4374bb2fcb4cbbacc5900— VT · MalwareBazaar - SHA256 :
d174b9b182bf09f0e1c91f69e8e50c74e22faa0e1b5e3a7b4b01ec79f53c3b5d— VT · MalwareBazaar - SHA256 :
538309d7b74fd481bc1ac95c7c7ff09bfa48a7a58e9b0a3c2e02c37d5e4d2b1f— VT · MalwareBazaar - SHA256 :
9b0dbeacaccff663533c2dc5cd570c1d3538dbf8b2eb9fc1f1e07514545744a4— VT · MalwareBazaar - SHA256 :
386f15e9dd3d234af02194d9d0b9b87ee8d7bbaec3b479042dbcf12df29fa73c— VT · MalwareBazaar - SHA256 :
2a5656426de9ddb7d807464dd6568b8d8bd2332976e8ede93f711aae16c96339— VT · MalwareBazaar - SHA256 :
ae8f5ba0fdb8ec27890966e705c4fbc09ab390c6b41b38d4c14665572eaa779a— VT · MalwareBazaar - SHA256 :
85706359974fabd8b673ad2ea07ee459a45bd3cc5a24ade7311e427925a10637— VT · MalwareBazaar - SHA256 :
ae4ba9d99188d0a386dfc0c84a225dd31d145e4813fdb4a3fa62087dcbf40592— VT · MalwareBazaar - SHA256 :
f30bd7a155853b712da7a7c68ed30c4afd0944c0ac7009f0c9331148aff56bce— VT · MalwareBazaar - SHA256 :
75e671f01ccc197145e9c74d03416d23a30bb0b89efe5656fe392779ec06f4b3— VT · MalwareBazaar - SHA256 :
00c5f829d64723bed0f0fcc48161d014a022ee218af11dbfd324fc8ddec16922— VT · MalwareBazaar - SHA256 :
a8e4c0371fc45f05c69f3f70e2775260bd848fbec301b03af6bce2ded4f48b76— VT · MalwareBazaar - SHA256 :
1844558373581ab1daa1b482807527b1caf8348572c46e1ddc8d925630b17156— VT · MalwareBazaar - SHA256 :
8b93e2661350507e962ef37da57507b6dbeb7900eaea7912ed5efca414ccabf8— VT · MalwareBazaar - SHA256 :
0ede4e8200c095a4c13859ac8824edcb7b5363808773fb086077d172ded0213c— VT · MalwareBazaar - SHA256 :
03e9e297a6366c711f41a5bdd1d056609172e3ada43b055d1679e097b1a345a3— VT · MalwareBazaar - SHA256 :
e8744a07fd5f623f2e477c0f311f749a807982b647c412b034e5bee3482bda17— VT · MalwareBazaar - SHA256 :
2a8a35869e2bf7739b7514784c0b07c19d5fda1a7c7579b05fc38d82aa1a13d2— VT · MalwareBazaar - SHA256 :
4bd146f48b684ee4c5e81e534e8ac46bfa76f083d5758ac5a0ea0acc5b5496fe— VT · MalwareBazaar - SHA256 :
bf42b3bcecb01c9d4cbf530896d91815f7d433ed384a7b2c40c92638776c02b4— VT · MalwareBazaar - SHA256 :
2c0be4d8fac2ab483a467b30a30a75c54e72d2b4b09d46d91967406c6d61f092— VT · MalwareBazaar - SHA256 :
daa36a12d6e86cf5ce3a7ee7d489d698ec8f9980a36c800a8502b82381c1736b— VT · MalwareBazaar - SHA256 :
f1e15fc72729a41d59e9300711df67501daa314fe583d6795c527dc001305603— VT · MalwareBazaar - SHA256 :
2f3845353cdf8d007d6d0a199abeb2c56c96736eb79146b6ee3d43d919863b85— VT · MalwareBazaar - SHA256 :
226c2478b5ddfd97a39f29424c03d2bd13b855dd9ab4195e4a1a6227ff2ecadb— VT · MalwareBazaar - SHA256 :
22d4c6f8299a61fccac44c06e0b8b4789271548b69443ab554e67bd7a4bcb964— VT · MalwareBazaar - SHA256 :
ddebe9d942b9417dcc6fb9b6abf813a0660d70b331b72e8112f809c9acd4bb11— VT · MalwareBazaar - SHA256 :
93e72961c148c0da8d13da8d3d38cb0ff18c6c506d33f75509eb4b7b9f37cd32— VT · MalwareBazaar - SHA256 :
a5c00451eb50fbafd0440d629fe153ed3e833d9df10d9932a273628438b8088d— VT · MalwareBazaar - SHA256 :
1e4cfc64c82c2257ab6738ef3901282a6b813a6b058a19dd344de524037e2b49— VT · MalwareBazaar - SHA256 :
e5b187a158dc8940f7b905c7de78d08132447075d761f90629307b9095451afe— VT · MalwareBazaar - SHA256 :
4a4cb95fc70d0ce9a084e52de5bce7079cf35f991c76cf0ee2a563cb6c5da99b— VT · MalwareBazaar - SHA256 :
05ac9eafeece2f45bdeb49413bcb41a20edfbe700a1bcd160663d4d131f24d21— VT · MalwareBazaar - SHA256 :
ad693bbefe342d787b98e244c15a95dc3c62bc35a04385cacffcf42d93c46021— VT · MalwareBazaar - SHA256 :
e8702684bdf221811a99c5af9c00b8cce17256e0afe4a8548ff0b3e78d74085f— VT · MalwareBazaar - SHA256 :
cc612f33a93143e143b85691ac50eb749b0d85be73123d693ac72e575a63a911— VT · MalwareBazaar - SHA256 :
3f44002ac3d6129cda249912c2310b503c23151d948650730d7cce92095ad8ee— VT · MalwareBazaar - SHA256 :
8fbbe7af07cbd440a96a872463fe5e3610ead2cafc13857250cb5e800eadd214— VT · MalwareBazaar - SHA256 :
0904e809a0cc2e97429ab5275a2122a713dc81e658df58b8a435db58c24dec29— VT · MalwareBazaar - SHA256 :
ca600bacdac7a8a24861b6f66747952714a99c870c1510ef57db5a0284b29e85— VT · MalwareBazaar - SHA256 :
60079c91b15fb3002e48579f956b3fb6c5f50f5dace53902c96cc8b92ffed883— VT · MalwareBazaar - SHA256 :
3fa243ff472f334b4527053100d4549c0d840cf53c5503c5fb1db87695aee3f5— VT · MalwareBazaar - SHA256 :
2811c4f8bc2f859a2dc5fdb1473dece4aa5231a02478b8d5b77f0c15b1f526a1— VT · MalwareBazaar - SHA256 :
6340a8e1d6aee8d527173acc88540a6b1674cb9193da52d088d89fb865dd734a— VT · MalwareBazaar - SHA256 :
d281cbcc921e7039647d2991c24a100d6ec8504e15f1d4b02dd6b3d2e8f65d9b— VT · MalwareBazaar - SHA256 :
52b0bb7d7748f37f3725422444689ced67afed6d74af3670e512431066f1cbe7— VT · MalwareBazaar - SHA256 :
4d108b390bff0641342272dcce486aebeef161fd47e7f33a8e12df3ab9fe5d5b— VT · MalwareBazaar - SHA256 :
d206b8abbab71d3dcd4b76cd7cfa49714a63825a9f79449163c7c33ea1bcbba7— VT · MalwareBazaar - SHA256 :
ab83dbfe73db42aaf18e8166cbcdc2816633a3b4f7b5c86b4a5f0032b74fd4b2— VT · MalwareBazaar - SHA256 :
f14d3ba09deafc365627d00aa02d50e5f43f8ab37c38452ffc3af93fec069aad— VT · MalwareBazaar - SHA256 :
fc91bf7f163e353a4c122739ff49f44722425c8bd63e100c7e35c177b50897f4— VT · MalwareBazaar - SHA256 :
a471238f23d450bb662888af8af0060f45c6f07aac58853c34a740443830dabe— VT · MalwareBazaar - SHA256 :
edc6b272bbbd8bb651433d76c69814bc7a774ebde468d30445e64d8f617b80bd— VT · MalwareBazaar - SHA256 :
56efca03c82f55ce7376d72ff694eaf187ddd0ac246fe9fe13e84f490608c39c— VT · MalwareBazaar - SHA256 :
8d629aa099cda2d61568a5309abb68dcf7eb825c43e96dfcf98176cec29f25f8— VT · MalwareBazaar - SHA256 :
de1e501383bb4baaa2f77e6a2d0164d3be04c0b326fd8e00e50ed90e633db471— VT · MalwareBazaar - SHA256 :
7faf27729b85177982ece41a790243de66f9a61001630f1e548db45cfecd43bd— VT · MalwareBazaar - SHA256 :
02b041a002380fc4f19249cc18905e879f90b863cc154c878450663662a3507e— VT · MalwareBazaar - SHA256 :
386ea9b16cef9734e3f413fd82ed1d14e1aa7922e94c169db275b7933d041bd1— VT · MalwareBazaar - SHA256 :
3a394c300371f107a045b734dfea4bf3dabf3cec0963ed4da673a2013b65b3ae— VT · MalwareBazaar - SHA256 :
b164cde58c696e39c47127f1941070e83e2cbddcf89d316dcad61e5d533b7cd5— VT · MalwareBazaar - SHA256 :
ac8ad1efb3b74259a30434f4bb553adab086e4ce13165710c5726053eec07a8a— VT · MalwareBazaar - SHA256 :
8ece74a64ecc5b07fcd0bb0cd6ae48d6a67b094e5a88b16bc627de0822493788— VT · MalwareBazaar - SHA256 :
93076cb62cfe29d9a91ab918d8a05660b30593ec093551cf1aea283d0c0dd619— VT · MalwareBazaar - SHA256 :
8cdc68ff6f7ac4b960535d6efe7b2ab5eb814fdd4aa0de08bfdc4d4eb1722e5f— VT · MalwareBazaar - SHA256 :
d3ba916a47597950f7f1cbdca7ecc4afe3126a5365f49c3f8acd283bfca66219— VT · MalwareBazaar - SHA256 :
f12d0e729da16e6b98a00a3f7bc7e87acb6af00d3343f0d8c560c3645bc03267— VT · MalwareBazaar - SHA256 :
c57c97e7ce5a36b749ebe69b72ab6a00a0640b9db70e59e2933eb403d2658063— VT · MalwareBazaar - Fichiers :
sshd-helper - Fichiers :
ysoserial.jar - Fichiers :
ysoserial-all.jar - Fichiers :
helper64.dll - Fichiers :
pwnkit_bin - Fichiers :
pwnkit_x64 - Fichiers :
gp.dat - Fichiers :
.bao-health - Fichiers :
.ntnx-era-monitor-new - Fichiers :
.openbao-monitor - Fichiers :
.vlt-gc - Fichiers :
.zabbix-proxy-hc - Fichiers :
Ysoperravida.jar - Fichiers :
tf.jsp - Fichiers :
ts.jsp - Fichiers :
webshell_disfrazada.jsp - Fichiers :
tunnel_apex_v12.jsp - Fichiers :
shell.php - Fichiers :
mini_imp.tgz - Fichiers :
mini_imp2.tgz - Fichiers :
mini_imp3.tgz - Fichiers :
mini_imp4.tgz - Fichiers :
pg_maint - Fichiers :
pg_maint2 - Fichiers :
exploit - Fichiers :
health.war - Fichiers :
AclaracionesWeb.war - Fichiers :
bt.php - Fichiers :
check.php - Fichiers :
com.php - Fichiers :
com_sedema_estadisticas.zip - Fichiers :
payload.bin - Fichiers :
payload_utf16.bin - Fichiers :
po.php - Fichiers :
renapoProxyLibs.jar - Fichiers :
sc.bin - Fichiers :
sc32.bin - Fichiers :
sedema.zip - Fichiers :
sedema_proc.jsp - Fichiers :
sh.cfm - Fichiers :
sh.php - Fichiers :
sh.wsdl - Fichiers :
siddrc.jar - Fichiers :
siddrcWSClient.jar - Fichiers :
sock_exp - Fichiers :
status.jsp - Fichiers :
test_deser.bin - Fichiers :
ver.jsp - Fichiers :
ws.php - Fichiers :
wscurp4Test.jar - Fichiers :
avgm.zip - Fichiers :
sw.dat - Fichiers :
http_implant.py - Fichiers :
BACKUPOSINT.py - Fichiers :
sat_api_DEFINITIVO.py - Fichiers :
constancia_pdf_generator.py - Fichiers :
clientehttp5.py - Fichiers :
clientesocks.py - Fichiers :
webshell_tunnel_v2.py - Fichiers :
webshell_ultimate.py - Fichiers :
reverse_socks.py - Fichiers :
socks5_via_sjsp.py - Fichiers :
webshell_b64.txt - Fichiers :
rce.b64 - Fichiers :
struts_rce.py - Fichiers :
geoserver_rce.py - Fichiers :
bind_shell.py - Fichiers :
smbghost_payload.py - Fichiers :
malicious_grid.js - Fichiers :
decrypt_all_creds.py - Fichiers :
install_hook.sh - Fichiers :
install_hook_v2.sh - Fichiers :
install_hook_152.sh - Fichiers :
install_proc_hook.sh - Fichiers :
hide_ip.sh - Fichiers :
setup_stealth.sh - Fichiers :
setup_stealth_v2.sh - Fichiers :
check_edr.sh - Fichiers :
upload_agent.sh - Fichiers :
upload_agent2.sh - Fichiers :
upload_gp.sh - Fichiers :
gp_setup.sh - Fichiers :
loot_all.sh - Fichiers :
sat_api.py - Fichiers :
generar_constancia_pdf.py - Fichiers :
zimbra_exploit.py - Fichiers :
zimbra_dtd_exploit.sh - Fichiers :
eternalblue.rc - Fichiers :
psexec.rc - Fichiers :
samba_usermap.rc - Fichiers :
sambacry.rc - Fichiers :
jmx_exploit.rc - Fichiers :
smbghost_msf.rc - Fichiers :
s2_005_exploit.py - Fichiers :
claude.md - Fichiers :
sendpage.c - Fichiers :
vmsplice.c - Fichiers :
sock.c - Fichiers :
sock2.c - Fichiers :
pg2.c - Fichiers :
pg_backup_util.c - Fichiers :
pg_exec.c - Fichiers :
dah.cs - Fichiers :
util.cs - Fichiers :
tunnel_keeper.sh - Fichiers :
chisel_keeper.sh - Fichiers :
cleanup_all.sh - Fichiers :
final_clean.sh - Fichiers :
opsec_clean.sh
Malware / Outils
- BACKUPOSINT.py (tool)
- Claude Code (tool)
- Vulmap (tool)
- Chisel (tool)
- proxychains (tool)
- crackmapexec (tool)
- ntlmrelayx (tool)
- secretsdump (tool)
- PetitPotam (tool)
- PrinterBug (tool)
- EternalBlue (tool)
- ysoserial (tool)
- sat_api_DEFINITIVO.py (tool)
- generar_constancia_pdf.py (tool)
- http_implant.py (backdoor)
- webshell_disfrazada.jsp (backdoor)
- tunnel_apex_v12.jsp (backdoor)
- sshd-helper (backdoor)
- pwnkit (tool)
- zimbra_exploit.py (tool)
- struts_rce.py (tool)
- geoserver_rce.py (tool)
- smbghost_payload.py (tool)
- neoreg (tool)
- Metasploit (framework)
🟢 Indice de vérification factuelle : 70/100 (haute)
- ⬜ gambit.security — source non référencée (0pts)
- ✅ 48304 chars — texte complet (fulltext extrait) (15pts)
- ✅ 197 IOCs dont des hashes (15pts)
- ✅ 4/7 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
- ✅ 30 TTPs MITRE identifiées (15pts)
- ✅ date extraite du HTML source (10pts)
- ⬜ aucun acteur de menace nommé (0pts)
- ⬜ pas de CVE à vérifier (0pts)
IOCs confirmés externellement :
165.22.184.26(ip) → VT (10/94 détections)159.65.202.204(ip) → VT (7/94 détections) + ThreatFox (MimiKatz)b84450974bd3f1fc…(sha256) → VT (37/77 détections)2c9bddd6a1a4ec66…(sha256) → VT (12/76 détections)
🔗 Source originale : https://gambit.security/blog-post/a-single-operator-two-ai-platforms-nine-government-agencies-the-full-technical-report