Environnement C2 ciblant cinq organisations mexicaines : extraction de données et infrastructure analysées
🔍 Contexte Rapport d’infrastructure intelligence publié le 30 octobre 2026 par ThreatMon (TTI-IN-004, TLP:WHITE), couvrant une analyse conduite du 24 au 30 octobre 2026. L’investigation porte sur un environnement C2 suspect utilisé pour des opérations de collecte de données ciblant plusieurs organisations au Mexique. 🏗️ Architecture C2 identifiée L’environnement C2 ne repose pas sur un framework centralisé unique, mais sur une collection d’utilitaires spécifiques à chaque étape : Serveur HTTP (c2_server.py) : écoute sur TCP/8080, reçoit des données via POST et les stocke dans des fichiers locaux (wls_secrets.tar.gz, SerializedSystemIni.dat, recon_output.txt) Exécution de commandes via XML : bridge.xml utilise ProcessBuilder Java pour télécharger et exécuter run_bridge.sh depuis 34.66.239.213 Tunnel SSH (run_bridge.sh / wls_bridge.py) : établissement d’un reverse port forwarding SSH sur TCP/1521 (Oracle DB) Scripts d’extraction Python : cinq scripts distincts adaptés à chaque cible Transfert cloud via rclone : destination configurée sous le nom leviathan-drive (Google Drive) 🎯 Cibles identifiées Organisation Secteur Méthode Résultats enregistrés Télécoms Provider A Télécommunications Extraction BDD Oracle ~82 478 lignes (SIM-related) Télécoms Provider B Télécommunications API facturation 306 enregistrements Assurance Provider Assurance API applicative 554 enregistrements Entité gouvernementale Gouvernement Reconnaissance + outillage Oracle 49 hôtes inventoriés Université mexicaine Éducation Extraction BDD Oracle Plusieurs tables, erreurs de connexion 📋 Séquence opérationnelle reconstruite Découverte : inventaire des cibles, énumération des services Exécution : payloads XML malveillants via Java ProcessBuilder Accès distant : tunnel SSH avec reverse port forwarding (TCP/1521) Collecte : extraction par lots depuis Oracle DB et APIs applicatives Transfert : compression JSONL.gz + upload via rclone copyto vers leviathan-drive Nettoyage : suppression des fichiers locaux après transfert réussi 🖥️ Infrastructure hôte Hostname : rclone-leviathan-worker, utilisateur local : jarold Journaux système : 20–29 octobre 2026, 4 sessions de boot Connexion NetBird active (WireGuard P2P) entre 34.66.239.213 et une adresse secondaire (non divulguée), latence 79,20 ms, 44,1 MiB reçus / 214,0 MiB envoyés Clé SSH ED25519 privée récupérée dans l’environnement ⚠️ Éléments non confirmés Vecteur d’accès initial non établi Tunnel SSH réussi non confirmé Exfiltration complète des datasets non vérifiée indépendamment Identité de l’opérateur non attribuée 📌 Type d’article Rapport d’infrastructure intelligence technique (analyse de menace), produit par ThreatMon pour documenter les composants C2 récupérés, les cibles identifiées et les IOCs associés, sans attribution à un acteur spécifique. ...