https://cyberveille.ch/tags/insomnia-rat/ Recent content in Insomnia RAT on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 11 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-11-cl-cri-1171-un-reseau-ppi-distribue-arktunnel-insomnia-rat-et-docro-hijacker-via-youtube-et-seo/ Fri, 11 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-11-cl-cri-1171-un-reseau-ppi-distribue-arktunnel-insomnia-rat-et-docro-hijacker-via-youtube-et-seo/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 9 septembre 2026 par Unit 42 (Palo Alto Networks), cet article présente une analyse technique approfondie d&rsquo;un cluster cybercriminel tracké sous l&rsquo;identifiant <strong>CL-CRI-1171</strong>, opérant discrètement depuis au moins deux ans via une infrastructure de type <strong>pay-per-install (PPI)</strong>.</p> <h2 id="-mode-opératoire">🎯 Mode opératoire</h2> <p>Le groupe exploite deux canaux de distribution principaux :</p> <ul> <li><strong>11 chaînes YouTube</strong> dédiées au gaming (optimisation FPS, fix de crashes, paramétrage de plateformes), cumulant des centaines de milliers d&rsquo;abonnés et des millions de vues, avec des liens malveillants en description</li> <li><strong>SEO poisoning</strong> ciblant des professionnels cherchant des logiciels légitimes (WinDirStat, drivers Bluetooth, logiciels crackés)</li> </ul> <p>Les deux funnels convergent vers une <strong>PPI gate</strong> commune qui filtre les victimes via un paramètre <code>click_id</code> encodé en Base64 contenant l&rsquo;OS, le navigateur, le domaine référent, le mot-clé de recherche et l&rsquo;IP publique de la victime. Ce mécanisme de ciblage empêche les scanners automatisés d&rsquo;accéder aux payloads.</p>