🔍 Contexte

Source : huntback Research, publiée le 31 octobre 2026. Deux serveurs VPS européens (IONOS Espagne et Hetzner Allemagne) ont exposé leurs répertoires de travail en HTTP plain sur des ports non standard, révélant 1 304 fichiers et 193 Mo de données opérationnelles d’un même opérateur.

🛠️ Outil utilisé : pentestcode

pentestcode est un agent de pentest autonome open-source (MIT), fork d’OpenCode, installé via un one-liner curl. Il orchestre un agent principal et jusqu’à 8 sous-agents spécialisés (recon, scanner, exploiter, webapp, exploit-dev, critic, reporter, etc.) selon l’architecture HPTSA. Le modèle utilisé est deepseek/deepseek-flash dans 29 des 31 runs. En deux jours de logs conservés : 63 sessions, 2 866 appels modèle, 16 616 étapes évaluées.

🎯 Ciblage et portée

L’opérateur a conduit 31 runs contre 25 organisations entre le 8 septembre et le 30 octobre 2026, principalement européennes :

  • Sites de petites annonces (véhicules, agricole, immobilier) : NL, FR, DE, AT
  • Hébergeurs web et registrars : DE, BG, UA
  • Fournisseurs GPU cloud et VPS : US, FI, NL
  • Opérateur télécom national : EG
  • Domaine bancaire : DE
  • Jeux en ligne : RO, MT
  • Réseaux publicitaires et trading d’items : DE, RU

💥 Impact revendiqué par l’agent

Neuf rapports complets produits automatiquement par l’agent revendiquent :

  • 168 hôtes compromis
  • 1 770 vulnérabilités dont 196 critiques
  • 1 256 identifiants obtenus
  • Accès niveau données chez l’opérateur télécom égyptien
  • 52 hôtes root en un seul run sur un groupe de classifieds (fleet sweep)
  • 2 078 secrets déchiffrés depuis un secrets manager
  • Accès à 4 clusters Kubernetes depuis l’intérieur de leurs pods

🧰 Arsenal complémentaire

  • Credential checker (MOBILE-API/dd.py v2) : validation OIDC PKCE avec impersonation TLS via curl_cffi et patchright
  • Account factory (FACTORY.md) : pipeline de création de comptes en masse pour contourner la modération
  • Hash-cracking farm (/crackfleet) : md5crypt, sha512, wordlists
  • Proxies résidentiels par pays cible : NL, DE, BG, pool de 99 nœuds SOCKS5 égyptiens via gost v3.3.1
  • Loot consolidé : ALL_CREDENTIALS.md, dumps Redis, exports secrets vault, tarballs de bases de production
  • Outils : nuclei, ffuf, masscan, gost, chisel, responder, impacket, BloodHound, ldapsearch, Sliver, Havoc, ngrok
  • Exploitation de CVE-2026-109618/109619 (PHP2Shell), CVE-2026-87902 (WordPress), CVE-2026-49468 (LiteLLM), CVE-2026-67399 (WHMCS)

🔓 Indicateurs d’activité hostile

  • Scope étendu à un ISP tiers sans autorisation
  • Autorisation « asserted by operator » auto-déclarée dans les rapports
  • Ciblage d’une banque et d’un opérateur télécom national
  • Objectif explicite de publication d’annonces sans modération (fraude)
  • Présence de webshells et binaires loader sur les deux boxes
  • Port 31337 ouvert sur le second hôte

📄 Type d’article

Rapport d’investigation technique de threat intelligence, basé sur des données capturées en temps réel depuis des répertoires ouverts. But principal : documenter l’activité hostile d’un opérateur utilisant un agent IA offensif autonome contre des organisations réelles, et fournir des indicateurs de détection exploitables.

🧠 TTPs et IOCs détectés

TTP

  • T1595.001 — Active Scanning: Scanning IP Blocks (Reconnaissance)
  • T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1110.001 — Brute Force: Password Guessing (Credential Access)
  • T1555 — Credentials from Password Stores (Credential Access)
  • T1552 — Unsecured Credentials (Credential Access)
  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
  • T1583.003 — Acquire Infrastructure: Virtual Private Server (Resource Development)
  • T1005 — Data from Local System (Collection)
  • T1530 — Data from Cloud Storage (Collection)
  • T1136 — Create Account (Persistence)
  • T1210 — Exploitation of Remote Services (Lateral Movement)
  • T1619 — Cloud Storage Object Discovery (Discovery)

IOC

  • IPv4 : 217.160.132.82 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 94.130.22.61 — AbuseIPDB · VT · ThreatFox
  • URLs : http://217.160.132.82:9003/ — URLhaus
  • URLs : http://94.130.22.61:7777/ — URLhaus
  • CVEs : CVE-2026-109618 — NVD · CIRCL
  • CVEs : CVE-2026-109619 — NVD · CIRCL
  • CVEs : CVE-2026-87902 — NVD · CIRCL
  • CVEs : CVE-2026-49468 — NVD · CIRCL
  • CVEs : CVE-2026-67399 — NVD · CIRCL
  • Fichiers : dd.py
  • Fichiers : FACTORY.md
  • Fichiers : ALL_CREDENTIALS.md
  • Fichiers : VALID.txt
  • Fichiers : php2shell_exp.py
  • Chemins : /home/hunter/
  • Chemins : /home/hunter/MOBILE-API/dd.py
  • Chemins : /home/hunter/crackfleet/
  • Chemins : /home/hunter/p2s_weap/php2shell_exp.py
  • Chemins : /lab

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • pentestcode (framework)
  • nuclei (tool)
  • ffuf (tool)
  • masscan (tool)
  • gost (tool)
  • chisel (tool)
  • responder (tool)
  • impacket (framework)
  • BloodHound (tool)
  • Sliver (framework)
  • Havoc (framework)
  • patchright (tool)
  • curl_cffi (tool)
  • ngrok (tool)

🟢 Indice de vérification factuelle : 67/100 (haute)

  • ⬜ huntback.io — source non référencée (0pts)
  • ✅ 28779 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 19 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/4 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 14 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 5/5 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 217.160.132.82 (ip) → VT (3/92 détections)
  • 94.130.22.61 (ip) → VT (3/92 détections)

🔗 Source originale : https://huntback.io/blog/pentestcode-operator-open-directories?