https://cyberveille.ch/tags/devilnfc/ Recent content in DevilNFC on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 26 Jun 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-06-26-cartographie-de-l-infrastructure-c2-en-europe-de-l-est-3-900-serveurs-sur-302-fournisseurs/ Fri, 26 Jun 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-06-26-cartographie-de-l-infrastructure-c2-en-europe-de-l-est-3-900-serveurs-sur-302-fournisseurs/ <h2 id="-contexte">🌍 Contexte</h2> <p>Publié le 24 juin 2026 par Hunt.io sur son blog de recherche, cet article présente les résultats d&rsquo;une cartographie systématique de l&rsquo;infrastructure malveillante en Europe de l&rsquo;Est, couvrant 10 pays (Biélorussie, Bulgarie, République tchèque, Hongrie, Pologne, Moldavie, Roumanie, Russie, Slovaquie, Ukraine) sur une fenêtre de trois mois (12 mars – 12 juin 2026).</p> <h2 id="-chiffres-clés">📊 Chiffres clés</h2> <ul> <li><strong>4 331 détections malveillantes totales</strong> chez 302 fournisseurs distincts</li> <li><strong>3 923 serveurs C2</strong> (~90,6% des détections)</li> <li><strong>146 posts IOC Hunter</strong>, 111 répertoires ouverts malveillants, 90 sites de phishing, 61 IOCs publics</li> <li><strong>Friendhosting LTD (Bulgarie)</strong> : 2 100 serveurs C2, soit <strong>53,5% de toute l&rsquo;infrastructure C2 régionale</strong></li> <li>Top 5 fournisseurs : Friendhosting (BG, 2100), TimeWeb (RU, 277), PQ Hosting (MD, 175), Neterra (BG, 137), AlexHost (MD, 120)</li> </ul> <h2 id="-distribution-des-familles-de-malwares">🦠 Distribution des familles de malwares</h2> <ul> <li><strong>Keitaro</strong> : 1 277 IPs C2 uniques (TDS abusé pour malvertising/phishing)</li> <li><strong>Tactical RMM</strong> : 232 C2s (outil légitime détourné)</li> <li><strong>Acunetix</strong> : 173 C2s (infrastructure de reconnaissance)</li> <li><strong>Gophish</strong> : 122 C2s</li> <li><strong>Hajime</strong> : 106, <strong>Mozi</strong> : 82 (botnets IoT)</li> <li><strong>Cobalt Strike</strong> : 35 vérifiés + 44 non vérifiés</li> <li><strong>Sliver</strong> : 35</li> </ul> <h2 id="-acteurs-de-menace-et-campagnes-identifiés">🎯 Acteurs de menace et campagnes identifiés</h2> <ul> <li><strong>Cloud Atlas APT</strong> : IP <code>146.70.53[.]171</code> (M247, AS9009, Bulgarie) et plusieurs IPs sur Baxet (AS51659) — ciblage d&rsquo;entités gouvernementales/diplomatiques en Russie et Biélorussie, exploitation de <strong>CVE-2018-0802</strong>, phishing ZIP avec LNK/PowerShell</li> <li><strong>INJ3CTOR3</strong> : IP <code>146.70.129[.]114</code> (AS9009, République tchèque) — campagne de fraude téléphonique FreePBX, dropper Bash multi-étapes, webshell <strong>JOMANGY</strong>, outil <strong>ZenharR</strong></li> <li><strong>JINX-0164</strong> : IP <code>89.36.224[.]5</code> (AS9009, Roumanie) — package npm malveillant <code>@velora-dex/sdk v9.4.1</code>, RAT Go <strong>minirat</strong>, ciblage développeurs macOS DeFi/Web3</li> <li><strong>ShinyHunters</strong> : IP <code>176.120.22[.]24</code> (Proton66 OOO, AS198953, Russie) — exploitation de <strong>CVE-2026-35273</strong> (RCE Oracle PeopleSoft 8.61/8.62), ~300 instances ciblées dans 100+ organisations dont universités</li> <li><strong>Nemesys ransomware</strong> : IP <code>141.98.83[.]86</code> (FlyServers, AS209588) — Mimikatz, LaZagne, outils NirSoft, persistance via clé Run HKCU</li> <li><strong>Ollama Honeypot / CVE-2026-7482</strong> : IP <code>78.85.31[.]182</code> (Rostelecom, AS12389) — coinminer, LLMjacking</li> <li><strong>WantToCry ransomware</strong> : IP <code>87.225.105[.]217</code> (Rostelecom, AS12389)</li> <li><strong>Fluffy Wolf</strong> : IP <code>195.2.67[.]129</code> (VDSina, AS48282) — phishing ciblant des organisations russes</li> <li><strong>Black Basta</strong> : IP <code>109.172.88[.]38</code> (VDSina, AS48282) — vishing Teams, spam de registration-bombing, installation AnyDesk</li> <li><strong>Gremlin Stealer</strong> (variant évolué) : IP <code>194.87.92[.]109</code> (MTW/JSC Mediasoft, AS48347) — exfiltration, payload XOR dans ressource .NET</li> <li><strong>Pink Extortion Group</strong> : IP <code>185.178.208[.]153</code> (DDoS-Guard, AS57724) — vol de données Microsoft 365, exfiltration via Microsoft Graph API</li> <li><strong>Silent Ransom Group (SRG)</strong> : IP <code>130.204.1[.]83</code> (A1 Bulgaria) — infrastructure DNS fast-flux</li> <li><strong>DevilNFC</strong> (Android) : IP <code>185.203.116[.]18</code> (Belcloud)</li> <li><strong>XenoRAT / Gentlemen Ransomware</strong> : IP <code>92.39.211[.]142</code> (MTS)</li> <li><strong>Pioneer Kitten</strong> (probable) : IP <code>83.168.110[.]191</code> (SkyPass Solutions) — exploitation <strong>CVE-2026-0257</strong> (Palo Alto GlobalProtect bypass)</li> <li><strong>ProxyCB botnet / TeamSpy</strong> : IP <code>195.62.53[.]253</code> (IPServer)</li> </ul> <h2 id="-répartition-géographique-des-c2">🗺️ Répartition géographique des C2</h2> <ul> <li><strong>Russie</strong> : 929 IPs uniques (45,7%)</li> <li><strong>Pologne</strong> : 438 IPs (21,5%) — dispersées sur de nombreux petits fournisseurs</li> <li><strong>Bulgarie</strong> : 298 IPs (14,7%)</li> <li><strong>Roumanie</strong> : 199 IPs (9,8%)</li> <li><strong>Ukraine</strong> : 170 IPs (8,4%)</li> </ul> <h2 id="-type-darticle">📋 Type d&rsquo;article</h2> <p>Publication de recherche CTI à visée analytique, présentant une cartographie systématique de l&rsquo;infrastructure malveillante régionale via la plateforme Host Radar de Hunt.io, avec des requêtes HuntSQL reproductibles et des exemples d&rsquo;acteurs actifs.</p>