🔍 Contexte

Rapport d’infrastructure intelligence publié le 30 octobre 2026 par ThreatMon (TTI-IN-004, TLP:WHITE), couvrant une analyse conduite du 24 au 30 octobre 2026. L’investigation porte sur un environnement C2 suspect utilisé pour des opérations de collecte de données ciblant plusieurs organisations au Mexique.

🏗️ Architecture C2 identifiée

L’environnement C2 ne repose pas sur un framework centralisé unique, mais sur une collection d’utilitaires spécifiques à chaque étape :

  • Serveur HTTP (c2_server.py) : écoute sur TCP/8080, reçoit des données via POST et les stocke dans des fichiers locaux (wls_secrets.tar.gz, SerializedSystemIni.dat, recon_output.txt)
  • Exécution de commandes via XML : bridge.xml utilise ProcessBuilder Java pour télécharger et exécuter run_bridge.sh depuis 34.66.239.213
  • Tunnel SSH (run_bridge.sh / wls_bridge.py) : établissement d’un reverse port forwarding SSH sur TCP/1521 (Oracle DB)
  • Scripts d’extraction Python : cinq scripts distincts adaptés à chaque cible
  • Transfert cloud via rclone : destination configurée sous le nom leviathan-drive (Google Drive)

🎯 Cibles identifiées

Organisation Secteur Méthode Résultats enregistrés
Télécoms Provider A Télécommunications Extraction BDD Oracle ~82 478 lignes (SIM-related)
Télécoms Provider B Télécommunications API facturation 306 enregistrements
Assurance Provider Assurance API applicative 554 enregistrements
Entité gouvernementale Gouvernement Reconnaissance + outillage Oracle 49 hôtes inventoriés
Université mexicaine Éducation Extraction BDD Oracle Plusieurs tables, erreurs de connexion

📋 Séquence opérationnelle reconstruite

  1. Découverte : inventaire des cibles, énumération des services
  2. Exécution : payloads XML malveillants via Java ProcessBuilder
  3. Accès distant : tunnel SSH avec reverse port forwarding (TCP/1521)
  4. Collecte : extraction par lots depuis Oracle DB et APIs applicatives
  5. Transfert : compression JSONL.gz + upload via rclone copyto vers leviathan-drive
  6. Nettoyage : suppression des fichiers locaux après transfert réussi

🖥️ Infrastructure hôte

  • Hostname : rclone-leviathan-worker, utilisateur local : jarold
  • Journaux système : 20–29 octobre 2026, 4 sessions de boot
  • Connexion NetBird active (WireGuard P2P) entre 34.66.239.213 et une adresse secondaire (non divulguée), latence 79,20 ms, 44,1 MiB reçus / 214,0 MiB envoyés
  • Clé SSH ED25519 privée récupérée dans l’environnement

⚠️ Éléments non confirmés

  • Vecteur d’accès initial non établi
  • Tunnel SSH réussi non confirmé
  • Exfiltration complète des datasets non vérifiée indépendamment
  • Identité de l’opérateur non attribuée

📌 Type d’article

Rapport d’infrastructure intelligence technique (analyse de menace), produit par ThreatMon pour documenter les composants C2 récupérés, les cibles identifiées et les IOCs associés, sans attribution à un acteur spécifique.

🧠 TTPs et IOCs détectés

TTP

  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1572 — Protocol Tunneling (Command and Control)
  • T1090 — Proxy (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1567.002 — Exfiltration to Cloud Storage (Exfiltration)
  • T1005 — Data from Local System (Collection)
  • T1213 — Data from Information Repositories (Collection)
  • T1560.001 — Archive Collected Data: Archive via Utility (Collection)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1046 — Network Service Discovery (Discovery)
  • T1082 — System Information Discovery (Discovery)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1098.004 — Account Manipulation: SSH Authorized Keys (Persistence)
  • T1105 — Ingress Tool Transfer (Command and Control)

IOC

  • IPv4 : 34.66.239.213 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 130.12.180.212 — AbuseIPDB · VT · ThreatFox
  • SHA256 : ab04b2dc9d7daadf515ade91402b8955b7adef55d373dfc2d13d3aa11473d51e — VT · MalwareBazaar
  • SHA256 : fdbd147554a228f5837240ee01bd80f8244a4b7aaf511f5c3a6204a0404e190f — VT · MalwareBazaar
  • SHA256 : cb07e5d13ce3487d9ede5d614389efc7c8ce3d06b2b5ef07f9e57a651fd7707d — VT · MalwareBazaar
  • SHA256 : 2cd66ccde33a2789a943c708859c63f9f985188336aa3c329fd2e189bd39cde2 — VT · MalwareBazaar
  • Fichiers : c2_server.py
  • Fichiers : bridge.xml
  • Fichiers : check_tools.xml
  • Fichiers : recon.xml
  • Fichiers : payload.xml
  • Fichiers : run_bridge.sh
  • Fichiers : wls_bridge.py
  • Fichiers : university_dumper.py
  • Fichiers : government_dump.py
  • Fichiers : telecom_a_dumper.py
  • Fichiers : telecom_b_dumper.py
  • Fichiers : insurance_dumper.py
  • Fichiers : wls_secrets.tar.gz
  • Fichiers : SerializedSystemIni.dat
  • Fichiers : recon_output.txt
  • Fichiers : uploaded_data.bin
  • Fichiers : wls_key

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • c2_server.py (other)
  • wls_bridge.py (backdoor)
  • rclone (tool)
  • telecom_a_dumper.py (other)
  • telecom_b_dumper.py (other)
  • insurance_dumper.py (other)
  • university_dumper.py (other)
  • government_dump.py (other)

🟡 Indice de vérification factuelle : 63/100 (moyenne)

  • ⬜ threatmon.io — source non référencée (0pts)
  • ✅ 45755 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 23 IOCs dont des hashes (15pts)
  • ✅ 1/5 IOC(s) confirmé(s) (AbuseIPDB, MalwareBazaar, ThreatFox, VirusTotal) (8pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 130.12.180.212 (ip) → AbuseIPDB (100% confiance, 362 signalements) + VT (21/92 détections) + ThreatFox (Mirai)

🔗 Source originale : https://threatmon.io/c2-environment-and-targeted-data-extraction/