🔍 Contexte
Publié le 31 octobre 2026 par BI.ZONE, cet article présente une réévaluation majeure du cluster de menace Insolent Hyena, précédemment classifié comme hacktiviste, désormais reclassifié en Insolent Werewolf (orientation cyber-espionnage) suite à de nouvelles découvertes lors d’une surveillance continue.
🎯 Reclassification du groupe
La reclassification repose sur plusieurs indicateurs :
- Absence d’intention destructrice : aucun ransomware ni wiper observé
- Arsenal orienté espionnage : RATs (CapDoor, NightWire, NightStrike), frameworks post-exploitation (AdaptixC2, Havoc, Cobalt Strike)
- Accès initial ciblé : spearphishing de type ClickFix, achat d’accès à d’autres clusters d’espionnage, déploiement de NetSupport Manager
- Ciblage stratégique : secteur gouvernemental, organisations industrielles et instituts de recherche liés au complexe militaro-industriel
- Absence de revendications publiques
🦠 NightStrike — Nouveau RAT découvert
NightStrike est un RAT écrit en C++, vraisemblablement développé par l’auteur de NightWire. Ses capacités incluent :
- Vérification d’un argument de ligne de commande pour activer le logging (
debug.txt) - Extraction et exécution d’un document leurre via le marqueur
<<<BIND>>> - Rootkit : copie vers
%LOCALAPPDATA%\Microsoft\WindowsApps\SecurityHealthService.exe, PPID spoofing imitantexplorer.exe, suppression du flux ADS:Zone.Identifier - Persistance via clé de registre
HKCU\Software\Microsoft\Windows\CurrentVersion\Runet tâche planifiéeWindowsUpdate - Keylogger enregistrant dans
%TEMP%\keylog_YY-DD-MM.txt - Communication C2 via WebSocket (MessagePack), C2 principal :
46.250.238[.]87:5173, C2 de secours :194.59.31[.]39:5173 - User-Agent :
StrikeStub/1.0 - Mutex :
SvcRuntimeMtx
🔧 AdaptixC2 — Chaîne d’infection
Un MSI nommé DRPUMSItoEXECreator(Demo)2024_signed.msi (signature invalide) déploie des fichiers dans %LOCALAPPDATA%\Programs\Advanced CatchPulse Scanner. Le binaire légitime sascanner.exe charge trois DLLs malveillantes via Octowave Loader pour déchiffrer et exécuter un implant AdaptixC2. Le C2 configuré est stinkyshockblazer[.]cfd:443.
👹 Havoc — Framework post-exploitation
Un second MSI déploie des fichiers dans %LOCALAPPDATA%\Programs\HP SmartStream License Manager. Le binaire légitime HPLicenseManager.exe charge trois DLLs via Octowave Loader pour exécuter un implant Demon (Havoc). Le C2 configuré est unmoralreformeddehydrate[.]cfd:443. C’est la première observation de Havoc dans l’arsenal de ce cluster.
📋 Type d’article
Il s’agit d’une publication de recherche CTI produite par BI.ZONE, visant à documenter la reclassification d’un acteur de menace, présenter un nouveau malware et fournir des indicateurs de compromission exploitables.
🧠 TTPs et IOCs détectés
Acteurs de menace
- Insolent Werewolf (state-sponsored) —
TTP
- T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
- T1204.002 — User Execution: Malicious File (Execution)
- T1574.002 — Hijack Execution Flow: DLL Side-Loading (Defense Evasion)
- T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
- T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
- T1134.004 — Access Token Manipulation: Parent PID Spoofing (Defense Evasion)
- T1564.004 — Hide Artifacts: NTFS File Attributes (Defense Evasion)
- T1056.001 — Input Capture: Keylogging (Collection)
- T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
- T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
- T1219 — Remote Access Software (Command and Control)
- T1027 — Obfuscated Files or Information (Defense Evasion)
- T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
IOC
- IPv4 :
46.250.238.87— AbuseIPDB · VT · ThreatFox - IPv4 :
85.239.144.51— AbuseIPDB · VT · ThreatFox - IPv4 :
38.255.32.104— AbuseIPDB · VT · ThreatFox - IPv4 :
108.186.112.105— AbuseIPDB · VT · ThreatFox - IPv4 :
198.46.243.24— AbuseIPDB · VT · ThreatFox - IPv4 :
194.59.31.39— AbuseIPDB · VT · ThreatFox - Domaines :
unmoralreformeddehydrate.cfd— VT · URLhaus · ThreatFox - Domaines :
stinkyshockblazer.cfd— VT · URLhaus · ThreatFox - URLs :
http://85.239.144.51/agent.exe— URLhaus - URLs :
http://46.250.238.87/agent.exe— URLhaus - URLs :
http://85.239.144.51:5173/api/clients/9e4dfd51fb1788a91403039724dffc0457aae05dbf9719bb9d1454cac33b9352/stream/ws— URLhaus - URLs :
http://85.239.144.51:5173/api/clients/f14ee4054ed8f6b15042cc7a1ca56052d4d8e6558d942e32105772a54e9bfe69/stream/ws— URLhaus - URLs :
http://85.239.144.51:5173/api/clients/53298f5e0823781d027e751bbac0b68339f7e40fc23b9c4b0f56663e80d06612/stream/ws— URLhaus - URLs :
http://85.239.144.51:5173/api/clients/8b097777ffe1ae102fc7ac9af97119e4287315a5c385d7d6c4a2a860ec2e44b7/stream/ws— URLhaus - URLs :
http://46.250.238.87:5173/api/clients/caf7038b9d615f75243b31632268602017d3665ec80b064205c869413bc8c038/stream/ws— URLhaus - URLs :
http://46.250.238.87:5173/api/clients/7ca843cebc422ba7c437018500c3933b5d972cefc0af4b460116830e996f3ba3/stream/ws— URLhaus - URLs :
http://46.250.238.87:5173/api/clients/19d38ac5455dbd8392b07036f11bdef3596c41b67f81d1bf1aaee7a8d074ac0b/stream/ws— URLhaus - URLs :
http://46.250.238.87:5173/api/clients/58a6172bcf0ed2c48f4f33d9976796375c9763a2be53922c8089afeccdb2c097/stream/ws— URLhaus - URLs :
http://38.255.32.104:5173/api/clients/f146eac864ccd709d022e4b14a98441eb19d6b92aa921a0c1279a449b1ec57f0/stream/ws— URLhaus - URLs :
http://198.46.243.24:5173/api/clients/ae8ff1c3b5e620b2233389661842c765cd04dfecd73a880de3cbf7115c1ebb50/stream/ws— URLhaus - URLs :
http://108.186.112.105:5173/api/clients/342b4805758e2ea62fe3b91c7614a4d719caf819dc5b4afc8d5e4694666cf21a/stream/ws— URLhaus - SHA256 :
f41ad6382381aa01b232007a62e845dfb062dc7050f23e987f341fe04b5628e8— VT · MalwareBazaar - SHA256 :
79bc2ef7e362394cb209de491ff8c2402c944b835d923ece0a63531922c2f4b1— VT · MalwareBazaar - SHA256 :
a94e2c99cd8aaed4124fb4301b71dc97d480bf47135d4d7f45057f2c05487b0e— VT · MalwareBazaar - SHA256 :
86ca13d899fb4c9eb9a7a783347b8901945fac8039d1dfbb148f57dbd14991d9— VT · MalwareBazaar - SHA256 :
d08f5be17e0faae9e2284d89995ee0e9d86f2f7e700a0cc01e268c651f892cc1— VT · MalwareBazaar - SHA256 :
fc1e396f086f78b1c1a722187d5576ca1a110139f6ea92051c056fae2bcaee15— VT · MalwareBazaar - SHA256 :
407dd6fc3839977aef22ab7083f53f2544140ed47b05177ca2910521a3731740— VT · MalwareBazaar - SHA256 :
44b5f61672bd2243250d068053c2e2fd4be2277b1833ebedf97c43d2723d9d23— VT · MalwareBazaar - SHA256 :
6a98f728dd24e272965a9dae64ccbf9c4a34b1136c2fda3ebf3fc2f1f4813941— VT · MalwareBazaar - SHA256 :
99fce013248f101bd8a3d51142e0c2fd8cd480443a99519cf8a5426a69e06f45— VT · MalwareBazaar - SHA256 :
f72d737bba6785cb1c94c773a1bf1f283e6395ec5d0daf051734a2f2147fe28d— VT · MalwareBazaar - SHA256 :
ba916aa1dfb0f562556e514b9fe92637e97282813047955c9744467154da3df3— VT · MalwareBazaar - SHA256 :
4eddd4af1fd3a3e40e61e9cc2961b540504e86713c27fda166f7b870b3a0f36e— VT · MalwareBazaar - SHA256 :
c5c4c9b794e5f1f2be986b7dbb74bba949218be947ca0f381585f551bec0a846— VT · MalwareBazaar - SHA256 :
059c0dcdd98d19e31d310427a422d48c47c5e8615ad3c0d31fcaa26c4eacac1c— VT · MalwareBazaar - SHA256 :
c65bfd22870a3a7e561a8009a9b69f58c0a9017343095d849f64a428cf136431— VT · MalwareBazaar - SHA256 :
e5f52fa07c411141904d2f41aa5ba774083272f787d5871a5bc9bba9d2d07902— VT · MalwareBazaar - SHA256 :
6298d7791cd6f556d4e8b60350a5fe6a4361cba7234d416031186ee249a81cc8— VT · MalwareBazaar - SHA256 :
72a9a2bbefdfc08b7153f7808c7b27254bdb4b5d9e3a3c0249b5889efbc0becf— VT · MalwareBazaar - SHA256 :
2d93804826f8a7a28ce6f60162f1d73b84c6ece3daa823ece170fafc558a796d— VT · MalwareBazaar - SHA256 :
b42910aae8a63d7550b5e8277ac47aebb842441e2110a75ff6bd4dfa5f927dd7— VT · MalwareBazaar - SHA256 :
598abde0f738440fa7a368b9f5c324a7f54847dab55fd88ed817f5c17f56d882— VT · MalwareBazaar - Fichiers :
DRPUMSItoEXECreator(Demo)2024_signed.msi - Fichiers :
sascanner.exe - Fichiers :
iPrf-2.dll - Fichiers :
WebView2.DevTools.Dom.dll - Fichiers :
Gma.System.MouseKeyHook.dll - Fichiers :
AnalysisService.db - Fichiers :
Comm.raw - Fichiers :
HPLicenseManager.exe - Fichiers :
WinSca.dll - Fichiers :
Slitheris.dll - Fichiers :
PuTranslations.resources.dll - Fichiers :
desktop.dat - Fichiers :
WindowCreate.bin - Fichiers :
agent.exe - Fichiers :
WindowsUpdate.exe - Chemins :
%LOCALAPPDATA%\Microsoft\WindowsApps\SecurityHealthService.exe - Chemins :
%APPDATA%\WindowsUpdate.exe - Chemins :
%APPDATA%\Microsoft\WindowsUpdate.exe - Chemins :
%LOCALAPPDATA%\Programs\Advanced CatchPulse Scanner - Chemins :
%LOCALAPPDATA%\Programs\HP SmartStream License Manager
⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.
Malware / Outils
- NightStrike (rat)
- NightWire (rat)
- CapDoor (rat)
- Cobalt Strike (framework)
- AdaptixC2 (framework)
- Havoc (framework)
- Octowave Loader (loader)
- NetSupport Manager (tool)
🟢 Indice de vérification factuelle : 95/100 (haute)
- ✅ bi-zone.medium.com — source reconnue (Rösti community) (20pts)
- ✅ 14239 chars — texte complet (fulltext extrait) (15pts)
- ✅ 63 IOCs dont des hashes (15pts)
- ✅ 8/11 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
- ✅ 13 TTPs MITRE identifiées (15pts)
- ✅ date extraite du HTML source (10pts)
- ✅ acteur(s) identifié(s) : Insolent Werewolf (5pts)
- ⬜ pas de CVE à vérifier (0pts)
IOCs confirmés externellement :
46.250.238.87(ip) → VT (3/92 détections)85.239.144.51(ip) → VT (5/92 détections)38.255.32.104(ip) → VT (4/92 détections)f41ad6382381aa01…(sha256) → VT (47/76 détections)79bc2ef7e362394c…(sha256) → VT (44/76 détections)
🔗 Source originale : https://bi-zone.medium.com/new-data-reveals-espionage-focus-of-insolent-hyena-a8fa207e0ae6