🧭 Contexte

Publié en septembre 2026 sur GitHub (https://github.com/S3N4T0R-0X0/BEAR-C2), BEAR-C2 est un framework open-source d’adversary simulation et d’émulation, conçu pour reproduire fidèlement les TTPs de groupes APT associés à la Russie, la Chine, la Corée du Nord et l’Iran.

🏗️ Architecture et fonctionnalités principales

BEAR-C2 propose une interface graphique (GUI) centralisée permettant :

  • Listeners multi-protocoles : DoH, HTTPS, HTTP, QUIC, Reverse TCP
  • Chiffrement par listener : AES, XOR, RC4, DES, ChaCha20, RSA
  • Profils d’exfiltration : Google Drive, OneDrive, Dropbox (via tokens API configurables)
  • Canaux C2 intégrés : Telegram (via Telegram Bot API) et Discord (via Discord Gateway API)
  • Support proxy : SOCKS4, SOCKS4a, SOCKS5
  • DGA (Dynamic Domain Generation Algorithm) pour la résilience d’infrastructure
  • JA3S fingerprinting personnalisable
  • Malleable C2 Profiles communautaires
  • Stagers & Loaders automatisés
  • Obfuscateur de scripts, phishing toolkit, hébergement de fichiers intégrés
  • Génération de certificats TLS auto-signés imitant des vendeurs de confiance

🎯 Composant Reaper Node

Le composant Reaper Node fournit des templates de payloads C++ configurables (authentification, hôte serveur, port, clé de chiffrement, User-Agent). Ces payloads compilables sont destinés aux environnements de simulation autorisés.

💬 Canaux C2 Telegram et Discord

Telegram Agent : utilise un bot Telegram comme intermédiaire. Le Bot Token est embarqué dans le payload, permettant une communication bidirectionnelle via l’API Telegram. Limite : 4000 caractères de données C2 par message.

Discord Agent : utilise deux bots Discord distincts (un côté C2, un côté payload) partageant un canal privé. Limite : 1400 caractères de données C2 par message. Les données sont encodées en Base64 avant transmission.

Limitation notable : lorsque plusieurs beacons partagent le même bot ou canal, ils apparaissent comme une seule session C2, rendant l’identification individuelle impossible.

📋 Type d’article

Il s’agit d’une publication de nouveaux outils offensifs à vocation éducative et de recherche, documentant un framework d’émulation APT complet avec ses capacités techniques détaillées.

🧠 TTPs et IOCs détectés

TTP

  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1071.003 — Application Layer Protocol: Mail Protocols (Command and Control)
  • T1132.001 — Data Encoding: Standard Encoding (Command and Control)
  • T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)
  • T1573.002 — Encrypted Channel: Asymmetric Cryptography (Command and Control)
  • T1567.002 — Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration)
  • T1568.002 — Dynamic Resolution: Domain Generation Algorithms (Command and Control)
  • T1090 — Proxy (Command and Control)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1566 — Phishing (Initial Access)
  • T1102 — Web Service (Command and Control)

IOC

  • Fichiers : Telegram Agent.cpp
  • Fichiers : Discord Agent.cpp
  • Chemins : /Stagers-Loaders/Reaper Node Samples/
  • Chemins : /Stagers-Loaders/C2 Channel Agent Samples/Telegram Agent.cpp
  • Chemins : Stagers-Loaders/C2 Channel Agent Samples/Discord Agent.cpp

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 11 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • BEAR-C2 (framework)
  • Reaper Node (loader)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

  • ⬜ github.com — source non référencée (0pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 5 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 11 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://github.com/S3N4T0R-0X0/BEAR-C2