🌐 Contexte

Cet article de recherche publié le 28 octobre 2026 par DomainTools Intelligence (DTI) analyse l’écosystème hack-and-leak opéré par des personas en ligne se désignant sous les noms MrHex, @Mr8ex, MrDarkRoot et @Darku3er. L’opération est qualifiée d’alignée avec l’Iran et entretient des liens documentés avec le groupe Handala et CyberAv3ngers.

🎭 Personas et structure opérationnelle

L’écosystème repose sur une division fonctionnelle des rôles :

  • MrHex : identité publique principale, opère le site mrhex.sbs comme plateforme de divulgation structurée
  • @Mr8ex : handle alternatif confirmé de MrHex, visible dans un enregistrement vidéo d’un système industriel compromis
  • MrDarkRoot : interface marketplace, gère la publicité et la vente de données sur DarkForums et DarkforumsRU
  • @Darku3er : contact transactionnel pour les acheteurs

🏗️ Infrastructure de campagne

Les domaines identifiés et leurs dates d’enregistrement :

  • jokerdata.org : 23 décembre 2025 (hébergé via OVH, 51.79.96.115, NS/SOA ParsVDS iranien)
  • jokerdata.shop : 29 décembre 2025 (MX résolvant vers 185.208.173.17, AS202269 BitCommand LLC, lié à ParsPack/Iran)
  • blackleaks.sbs : 1er juin 2026 (distribution bulk de fichiers)
  • mrhex.sbs : 31 juillet 2026, en ligne le 24 septembre 2026 (portail searchable de données volées)

Les sites mrhex.sbs et blackleaks.sbs sont hors ligne depuis le 20 octobre 2026, sans saisie de domaine confirmée.

🎯 Cibles et données publiées

Les collections publiées incluent :

  • 8 059 enregistrements de l’armée américaine
  • 9 310 enregistrements de la police américaine
  • 108 enregistrements FBI/CIA
  • 38 765 enregistrements de la police israélienne
  • Archives individuelles : Benny Gantz, Ehud Barak, Gabi Ashkenazi, Ron Prosor, Kash Patel

Ces dumps proviennent en partie de fuites antérieures de Handala et CyberAv3ngers.

⚙️ Activités OT/ICS

Le 18 septembre 2026, un enregistrement vidéo montre un accès à un HMI industriel associé à “Station Verdad” avec branding @Mr8ex/MrHex. Des revendications d’attaques contre des installations industrielles américaines (injection chimique, gaz naturel, pétrole brut) à Knoxville, Granite City et East Ridge ont été relayées par des médias persanophones le 19 septembre 2026. Ces incidents restent non vérifiés indépendamment ; aucune preuve de dommages physiques n’a été confirmée.

🤝 Lien avec Handala

Le 30 septembre 2026, MrDarkRoot a publiquement reconnu recevoir des informations de Handala pour redistribution. Le logo de MrHex référence directement Handala. Les acteurs ont qualifié Handala de “frères”.

💰 Activité commerciale récente (octobre 2026)

  • 7 octobre : 200 Go de données gouvernementales américaines proposées à 10 800 $
  • 9 octobre : données de corporations américaines proposées à 5 000 $ (canal MrHexStore)
  • 10 octobre : données d’entreprises américaines à 1 000 $ par lot
  • 11 octobre : données israéliennes offertes gratuitement sur le canal Telegram IRGCIntelligence (créé le même jour)

📋 Type d’article

Publication de recherche CTI produite par DomainTools, visant à documenter et attribuer un écosystème hack-and-leak pro-iranien actif, incluant une analyse d’infrastructure, de personas et de TTPs.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1530 — Data from Cloud Storage (Collection)
  • T1213 — Data from Information Repositories (Collection)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1586.002 — Compromise Accounts: Social Media Accounts (Resource Development)
  • T1591 — Gather Victim Org Information (Reconnaissance)
  • T0817 — Drive-by Compromise (Initial Access)
  • T0855 — Unauthorized Command Message (Impair Process Control)
  • T1657 — Financial Theft (Impact)
  • T1498 — Network Denial of Service (Impact)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 87/100 (haute)

  • ✅ dti.domaintools.com — source reconnue (liste interne) (20pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/5 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : MrHex, Handala, CyberAv3ngers (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • jokerdata.shop (domain) → VT (4/92 détections)
  • blackleaks.sbs (domain) → VT (3/92 détections)

🔗 Source originale : https://dti.domaintools.com/research/mrhex-a-new-hack-and-leak-campaign-attributing-themselves-to-handala