🔍 Contexte

Publié le 4 novembre 2026 par Jon DiMaggio (Flare Research), cet article constitue la deuxième partie d’une série en deux volets sur les conséquences des arrestations de membres de ShinyHunters en septembre 2026. L’analyse repose sur des données collectées via la plateforme Flare (Telegram, forums, leak sites, serveurs).

🚔 Les arrestations

  • 15 septembre 2026 : arrestation d’un individu de 24 ans par la police néerlandaise pour « participation »
  • 29 septembre 2026 : détention de Rey (Saif al-Din Khader) en Jordanie, signalé comme coopérant avec le FBI
  • 8-9 octobre 2026 : arrestation d’Edward Dubrovsky, ancien cadre de la firme de négociation ransomware CYPFER, pour complot et extorsion dans le district Est du Texas

⚔️ La bataille pour le nom

Après les arrestations, trois factions ont revendiqué le nom ShinyHunters :

  1. La faction leak-site : opérateurs du site de fuite ShinyHunters et des comptes forums (BreachForums, XSS), considérée comme le noyau dur de l’opération
  2. La faction Aegis : acteurs Telegram promouvant le persona « Aegis » comme « Grand Fondateur » après l’arrestation de Rey, opérant via les canaux « SH », « SH Group », « Other And Other », « Escanors Marketplace/Files »
  3. ShinyEquationCartel : nouveau canal Telegram ouvert le 10 octobre, se présentant comme un collectif d’anciens membres de ShinyHunters, LAPSUS$, HellCat et LockBit

🖥️ Infrastructure partagée malgré les conflits publics

Malgré les dénonciations mutuelles, toutes les factions ont envoyé les victimes vers le même serveur 176.120.22.24 pour télécharger les données volées. Deux serveurs de backup (91.202.233.104 et 91.215.85.103) présentent des certificats avec des dates de validité proches sur trois dates distinctes (17 juin, 26 juillet, 18 septembre 2026), suggérant une maintenance commune modérément confirmée.

🔗 Liens techniques clés

  • Le token de téléchargement Baxter International est identique entre le leak site et le canal « International Global Network (SLSH) »
  • Le compte @shsupportsh (Telegram ID 8581727007) a posté 779 messages sur 849 identiques au canal « International Global Network (SLSH) », avec 315 paires dans un intervalle de 60 secondes
  • Un faux document PGP (fingerprint E80C1308A09EC1ADC418C3F02578988F69BCA3FC) a été utilisé pour authentifier frauduleusement des posts en juin 2026

🎭 Acteurs et personas

  • Aegis / @reyswap (Telegram ID 8746178180) : persona instable, se réclamant alternativement de Rey puis d’Aegis
  • Sevy / @barbie : accusée par la faction Aegis d’avoir informé les autorités sur Rey ; le compte actuel @barbie (ID 8448751453) affirme avoir acheté le handle
  • Belzebuth6040 : compte ayant relayé une prime de 11 000 USD sur la tête d’Aegis
  • UNC6240 : cluster d’extorsion lié au leak site par Google
  • UNC6671 : cluster distinct (BlackFile/Redact/Helix/Falcon), évalué comme indépendant de ShinyHunters

📊 Victimes mentionnées

  • H&M : deux factions revendiquent les mêmes données, demande de 100 000 USD
  • Orange : revendication de breach par ShinyEquationCartel
  • Baxter International : données listées sur le leak site et les canaux Telegram
  • Salesforce, Cisco : données proposées à 250 000 USD
  • University of Nottingham, Council of Europe, Brinks Home : victimes mentionnées dans les posts collectés

📝 Nature de l’article

Il s’agit d’une publication de recherche CTI approfondie produite par Flare Research, visant à documenter la fragmentation post-arrestation de ShinyHunters, à clarifier les attributions et à fournir des indicateurs techniques exploitables pour les équipes de sécurité.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1567.002 — Exfiltration to Cloud Storage (Exfiltration)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1657 — Financial Theft (Impact)
  • T1583.003 — Acquire Infrastructure: Virtual Private Server (Resource Development)
  • T1588.003 — Obtain Capabilities: Code Signing Certificates (Resource Development)
  • T1585.001 — Establish Accounts: Social Media Accounts (Resource Development)
  • T1491.002 — Defacement: External Defacement (Impact)
  • T1078 — Valid Accounts (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 70/100 (haute)

  • ⬜ securityboulevard.com — source non référencée (0pts)
  • ✅ 52806 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 13 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 4/5 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : ShinyHunters, Scattered Spider, LAPSUS$ (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 176.120.22.24 (ip) → VT (13/92 détections)
  • 91.202.233.104 (ip) → VT (9/92 détections)
  • 91.215.85.103 (ip) → VT (12/92 détections)
  • shinywire.com (domain) → VT (5/92 détections)

🔗 Source originale : https://securityboulevard.com/2026/11/aftermath-of-the-september-shinyhunters-arrests-battle-over-the-brand-name/