🔍 Contexte

Publié le 1er novembre 2026 par l’analyste @volrant136 sur infrahunter.com, cet article de recherche CTI documente la découverte d’un répertoire ouvert (open directory) hébergé à l’adresse 193.29.104.84:8099, exposant un toolkit offensif complet attribué au groupe APT DoNot (APT-C-35 / SectorE02).

🎯 Ciblage

Les scripts récupérés contiennent des références hardcodées à des entités stratégiques pakistanaises :

  • PAEC (Pakistan Atomic Energy Commission)
  • Chashma et KANUPP (centrales nucléaires)
  • SCADA et Modbus (systèmes de contrôle industriel)
  • OGDCL (Oil & Gas Development Company Limited)

Un compte utilisateur nommé ELECTRICAL est spécifiquement ciblé dans plusieurs scripts de reconnaissance.

🛠️ Toolkit exposé

Le répertoire contenait 48 fichiers (~12 Mo) uploadés entre le 9 et le 14 octobre 2026 :

Reverse shells Go :

  • rvb80_232.exe — Go 1.20.2, C2 179.43.145.232:80, non strippé
  • rvb61135.exe — Go 1.20.14, C2 179.43.145.232:61135, strippé
  • rvb_new.exe — Go 1.26.7, C2 193.29.104.84:45600, TLS + strippé

Autres exécutables :

  • Beacon-trydnd1.exe — implant HTTP C2 (MinGW/GCC), polling sur 179.43.145.232
  • rv88b.exe — loader Metasploit x64 shellcode

Scripts PowerShell/Batch :

  • inv3.ps1 à inv12.ps1 — configurations Inveigh pour capture NetNTLM via LLMNR/NBNS/mDNS
  • contenthunt.bat, hunt88.bat, hunt88b.bat — reconnaissance de fichiers sensibles
  • recon88.bat — cartographie réseau (arp, route, nbtstat)
  • lantest.bat — test de credentials sur 30 hôtes du sous-réseau 192.168.6.0/24
  • invgo2.bat — usurpation d’identité OGDCL avant lancement d’Inveigh

🔗 Attribution à DoNot APT

L’attribution repose sur plusieurs indicateurs convergents :

  • L’IP 31.7.61.8:443 résout vers pakdw.orchidheaven.online, domaine référencé dans un post StrikeReady Labs liant cette infrastructure à une campagne APT India-linked
  • Le fichier File Copy.ppt (SHA-256: bfaec98e7fdcf93c1bce3cc592f29e098e1facef0387cdccf8b0d7e5fa87c5ee) présente des comportements macro (Auto_Open, Base64, schtasks, staging dans %PUBLIC%\Music\) documentés comme fingerprints DoNot dans le rapport QianXin “Heavy Shadows”
  • Le ciblage Pakistan nucléaire/énergie est cohérent avec les campagnes DoNot documentées par Rewterz et Cyble

📋 Type d’article

Il s’agit d’une publication de recherche CTI à TLP:CLEAR, visant à documenter et exposer publiquement l’infrastructure, le toolkit et les indicateurs d’une campagne d’espionnage cyber active.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • DoNot APT (state-sponsored) —

TTP

  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1573.002 — Encrypted Channel: Asymmetric Cryptography (Command and Control)
  • T1557.001 — Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay (Credential Access)
  • T1110.003 — Brute Force: Password Spraying (Credential Access)
  • T1083 — File and Directory Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1087 — Account Discovery (Discovery)
  • T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1036 — Masquerading (Defense Evasion)
  • T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
  • T1055 — Process Injection (Defense Evasion)
  • T1564.003 — Hide Artifacts: Hidden Window (Defense Evasion)
  • T1566.001 — Phishing: Spearphishing Attachment (Initial Access)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1074 — Data Staged (Collection)
  • T1119 — Automated Collection (Collection)

IOC

  • IPv4 : 193.29.104.84 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 179.43.145.232 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 31.7.61.8 — AbuseIPDB · VT · ThreatFox
  • Domaines : pakdw.orchidheaven.online — VT · URLhaus · ThreatFox
  • Domaines : orchidheaven.online — VT · URLhaus · ThreatFox
  • SHA256 : bfaec98e7fdcf93c1bce3cc592f29e098e1facef0387cdccf8b0d7e5fa87c5ee — VT · MalwareBazaar
  • Fichiers : rvb80_232.exe
  • Fichiers : rvb61135.exe
  • Fichiers : rvb_new.exe
  • Fichiers : Beacon-trydnd1.exe
  • Fichiers : rv88b.exe
  • Fichiers : rev.ps1
  • Fichiers : revcmd.ps1
  • Fichiers : rev106.ps1
  • Fichiers : tcptest.ps1
  • Fichiers : t.ps1
  • Fichiers : rv88b.bat
  • Fichiers : inv3.ps1
  • Fichiers : inv8.ps1
  • Fichiers : inv9.ps1
  • Fichiers : inv10.ps1
  • Fichiers : inv12.ps1
  • Fichiers : invgo2.bat
  • Fichiers : tinv2.bat
  • Fichiers : tinv3.bat
  • Fichiers : contenthunt.bat
  • Fichiers : hunt88.bat
  • Fichiers : hunt88b.bat
  • Fichiers : recon88.bat
  • Fichiers : lantest.bat
  • Fichiers : tp.bat
  • Fichiers : ptest.bat
  • Fichiers : go.bat
  • Fichiers : ad_pwd.txt
  • Fichiers : File Copy.ppt
  • Fichiers : Inveigh.ps1
  • Fichiers : curl_x64.exe
  • Fichiers : curl_x86.exe
  • Chemins : C:\inv12pid.txt
  • Chemins : C:\inv\console2.txt
  • Chemins : C:\Windows\Temp\recon88.txt
  • Chemins : C:\Windows\Temp\lantest.txt
  • Chemins : C:\Windows\Temp\contenthunt.txt
  • Chemins : C:\loot
  • Chemins : C:\Users\Public\Music\aco
  • Chemins : C:\Users\Public\Videos\nota
  • Chemins : %USERPROFILE%\Wallet\Hunrd\

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Inveigh (tool)
  • Metasploit (framework)
  • Go reverse shell (backdoor)
  • Beacon-trydnd1.exe (rat)

🟢 Indice de vérification factuelle : 72/100 (haute)

  • ⬜ infrahunter.com — source non référencée (0pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 47 IOCs dont des hashes (15pts)
  • ✅ 2/6 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 20 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : DoNot APT (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 193.29.104.84 (ip) → VT (3/92 détections)
  • bfaec98e7fdcf93c… (sha256) → VT (22/76 détections)

🔗 Source originale : https://www.infrahunter.com/research/open-directory-exposes-apt-donot-toolkit-targeting-pakistan