https://cyberveille.ch/tags/saroula01/ Recent content in Saroula01 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 17 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-17-trois-campagnes-aitm-exposees-via-un-serveur-mal-configure-codemado-mail-argenta-saroula01/ Fri, 17 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-17-trois-campagnes-aitm-exposees-via-un-serveur-mal-configure-codemado-mail-argenta-saroula01/ <h2 id="-contexte">🔍 Contexte</h2> <p>Le 13 juillet 2026, l&rsquo;équipe CTI de Lexfo publie une analyse approfondie issue de la découverte, fin avril 2026, d&rsquo;un <strong>répertoire ouvert</strong> sur le serveur <code>185.163.204.7</code> (Budapest, AS56322 ServerAstra Kft.). Un serveur Python HTTP (<code>python3 -m http.server 8080</code>) exposait publiquement l&rsquo;intégralité d&rsquo;une plateforme d&rsquo;attaque active : configurations Evilginx, logs de capture, archives, installeurs RMM, combolists et fichiers de session Telegram.</p> <h2 id="-acteurs-identifiés">👤 Acteurs identifiés</h2> <p><strong>codemado</strong> est un opérateur égyptien actif depuis 2018, identifié via <code>.bash_history</code>, un fichier de session Telegram (SQLite), des commentaires en arabe dans ses scripts, et une présence sur BlackHatWorld/CrackingX. Il opère sous les alias MaDoO, MaDosc, MADO. Il déploie une plateforme AiTM complète sur <code>picis.net</code> (enregistré le 13 mars 2026) avec un arsenal de 7 outils RMM et distribue <strong>MaDoO Blaster v4.7.3</strong>, un outil de spam/phishing commercial connecté à l&rsquo;écosystème cybercriminel <strong>The Quarry</strong> de RockyBelling.</p>