https://cyberveille.ch/tags/storm-0569/ Recent content in Storm-0569 on CyberVeille Hugo -- 0.146.0 fr-fr Tue, 07 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-07-abus-de-keitaro-tracker-tendances-licences-crackees-et-collisions-de-cookies-cti/ Tue, 07 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-07-abus-de-keitaro-tracker-tendances-licences-crackees-et-collisions-de-cookies-cti/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 31 mars 2026 par Infoblox Threat Intel et Confiant, cet article constitue la <strong>partie 3 d&rsquo;une série sur l&rsquo;abus du Keitaro Tracker</strong>, un système de suivi publicitaire auto-hébergé massivement détourné comme <strong>Traffic Distribution System (TDS)</strong> et outil de cloaking par des acteurs malveillants.</p> <h2 id="-sources-de-données-et-tendances">📊 Sources de données et tendances</h2> <p>L&rsquo;étude couvre la période <strong>du 1er octobre 2025 au 31 janvier 2026</strong> et combine :</p> <ul> <li><strong>Télémétrie DNS passive (pDNS)</strong> d&rsquo;Infoblox : ~226 000 requêtes DNS sur ~13 500 domaines liés à Keitaro</li> <li><strong>Plus de 8 000 nouvelles inscriptions de domaines</strong> attribuées à des acteurs malveillants, concentrées chez 5 registrars : Dynadot, Namecheap, Public Domain Registry, Global Domain Group, Sav</li> <li><strong>275 millions d&rsquo;impressions publicitaires</strong> analysées via Confiant, révélant ~2 000 domaines hébergeant des instances Keitaro dans des campagnes de malvertising</li> <li><strong>120+ campagnes spam distinctes</strong>, dont 96% liées à des <strong>crypto wallet-drainers</strong> (AURA, SOL, Phantom, Jupiter)</li> </ul> <h2 id="-événements-notables">📅 Événements notables</h2> <ul> <li><strong>7 octobre 2025</strong> : Un acteur ciblant des russophones enregistre des centaines de domaines .com via une promotion Dynadot à 6,88$</li> <li><strong>26 novembre 2025 (Black Friday)</strong> : Le même acteur achète en masse des domaines .icu, .click, .digital</li> <li><strong>30 octobre – 1er novembre 2025</strong> : Pic massif de requêtes DNS attribué à un acteur utilisant Keitaro pour rediriger les utilisateurs ciblés (Android/Allemagne, Windows/USA/Suisse) vers des <strong>sites de jeux d&rsquo;argent en ligne</strong></li> </ul> <h2 id="-fonctionnalités-keitaro-exploitées">⚙️ Fonctionnalités Keitaro exploitées</h2> <ul> <li><strong>Routing via Campaigns/Flows</strong> : filtrage par géolocalisation IP, OS, navigateur, type d&rsquo;appareil, référent, paramètres URI</li> <li><strong>Cloaking</strong> : intégration avec des kits tiers comme <strong>IMKLO</strong>, <strong>HideClick</strong>, <strong>Adspect Cloaker</strong> (IA, contournement Google/TikTok/Meta)</li> <li><strong>KClient JS</strong> : substitution de contenu côté client sans redirection visible</li> <li><strong>Antibot</strong> : listes d&rsquo;IP bloquées enrichies par des données tierces partagées sur GitHub et forums</li> </ul> <h2 id="-collisions-de-cookies">🍪 Collisions de cookies</h2> <p>Les instances Keitaro posent des cookies de tracking (<code>_token</code>, <code>_subid</code>, cookie alphanumérique 5 caractères pour v&lt;11). Ces valeurs étaient utilisées comme <strong>signatures d&rsquo;acteurs</strong>, mais l&rsquo;analyse a révélé des <strong>collisions</strong> :</p>