https://cyberveille.ch/tags/insurance_dumper.py/ Recent content in Insurance_dumper.py on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 31 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-31-environnement-c2-ciblant-cinq-organisations-mexicaines-extraction-de-donnees-et-infrastructure-analysees/ Sat, 31 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-31-environnement-c2-ciblant-cinq-organisations-mexicaines-extraction-de-donnees-et-infrastructure-analysees/ <h2 id="-contexte">🔍 Contexte</h2> <p>Rapport d&rsquo;infrastructure intelligence publié le 30 octobre 2026 par ThreatMon (TTI-IN-004, TLP:WHITE), couvrant une analyse conduite du 24 au 30 octobre 2026. L&rsquo;investigation porte sur un <strong>environnement C2 suspect</strong> utilisé pour des opérations de collecte de données ciblant plusieurs organisations au Mexique.</p> <h2 id="-architecture-c2-identifiée">🏗️ Architecture C2 identifiée</h2> <p>L&rsquo;environnement C2 ne repose pas sur un framework centralisé unique, mais sur une <strong>collection d&rsquo;utilitaires spécifiques à chaque étape</strong> :</p> <ul> <li><strong>Serveur HTTP (c2_server.py)</strong> : écoute sur TCP/8080, reçoit des données via POST et les stocke dans des fichiers locaux (<code>wls_secrets.tar.gz</code>, <code>SerializedSystemIni.dat</code>, <code>recon_output.txt</code>)</li> <li><strong>Exécution de commandes via XML</strong> : <code>bridge.xml</code> utilise <code>ProcessBuilder</code> Java pour télécharger et exécuter <code>run_bridge.sh</code> depuis <code>34.66.239.213</code></li> <li><strong>Tunnel SSH (run_bridge.sh / wls_bridge.py)</strong> : établissement d&rsquo;un reverse port forwarding SSH sur TCP/1521 (Oracle DB)</li> <li><strong>Scripts d&rsquo;extraction Python</strong> : cinq scripts distincts adaptés à chaque cible</li> <li><strong>Transfert cloud via rclone</strong> : destination configurée sous le nom <code>leviathan-drive</code> (Google Drive)</li> </ul> <h2 id="-cibles-identifiées">🎯 Cibles identifiées</h2> <table> <thead> <tr> <th>Organisation</th> <th>Secteur</th> <th>Méthode</th> <th>Résultats enregistrés</th> </tr> </thead> <tbody> <tr> <td>Télécoms Provider A</td> <td>Télécommunications</td> <td>Extraction BDD Oracle</td> <td>~82 478 lignes (SIM-related)</td> </tr> <tr> <td>Télécoms Provider B</td> <td>Télécommunications</td> <td>API facturation</td> <td>306 enregistrements</td> </tr> <tr> <td>Assurance Provider</td> <td>Assurance</td> <td>API applicative</td> <td>554 enregistrements</td> </tr> <tr> <td>Entité gouvernementale</td> <td>Gouvernement</td> <td>Reconnaissance + outillage Oracle</td> <td>49 hôtes inventoriés</td> </tr> <tr> <td>Université mexicaine</td> <td>Éducation</td> <td>Extraction BDD Oracle</td> <td>Plusieurs tables, erreurs de connexion</td> </tr> </tbody> </table> <h2 id="-séquence-opérationnelle-reconstruite">📋 Séquence opérationnelle reconstruite</h2> <ol> <li><strong>Découverte</strong> : inventaire des cibles, énumération des services</li> <li><strong>Exécution</strong> : payloads XML malveillants via Java ProcessBuilder</li> <li><strong>Accès distant</strong> : tunnel SSH avec reverse port forwarding (TCP/1521)</li> <li><strong>Collecte</strong> : extraction par lots depuis Oracle DB et APIs applicatives</li> <li><strong>Transfert</strong> : compression JSONL.gz + upload via <code>rclone copyto</code> vers <code>leviathan-drive</code></li> <li><strong>Nettoyage</strong> : suppression des fichiers locaux après transfert réussi</li> </ol> <h2 id="-infrastructure-hôte">🖥️ Infrastructure hôte</h2> <ul> <li>Hostname : <code>rclone-leviathan-worker</code>, utilisateur local : <code>jarold</code></li> <li>Journaux système : 20–29 octobre 2026, 4 sessions de boot</li> <li><strong>Connexion NetBird active</strong> (WireGuard P2P) entre <code>34.66.239.213</code> et une adresse secondaire (non divulguée), latence 79,20 ms, 44,1 MiB reçus / 214,0 MiB envoyés</li> <li>Clé SSH ED25519 privée récupérée dans l&rsquo;environnement</li> </ul> <h2 id="-éléments-non-confirmés">⚠️ Éléments non confirmés</h2> <ul> <li>Vecteur d&rsquo;accès initial non établi</li> <li>Tunnel SSH réussi non confirmé</li> <li>Exfiltration complète des datasets non vérifiée indépendamment</li> <li>Identité de l&rsquo;opérateur non attribuée</li> </ul> <h2 id="-type-darticle">📌 Type d&rsquo;article</h2> <p>Rapport d&rsquo;infrastructure intelligence technique (analyse de menace), produit par ThreatMon pour documenter les composants C2 récupérés, les cibles identifiées et les IOCs associés, sans attribution à un acteur spécifique.</p>