Une enquête élargie relie un compte Telegram à des codes malveillants et à des adresses IP

dog signage — Claudio Schwarz / Unsplash

La société de renseignement sur les menaces cybernétiques StealthMole a étendu son enquête au-delà d'un seul compte Telegram suspecté d'être lié à des piratages récents dans le secteur financier sud-coréen. L'investigation couvre désormais l'ensemble d'une communauté de cybercriminalité de langue chinoise où le compte était actif. Cette expansion a permis d'analyser les rôles et les activités de dix-neuf comptes distincts, incluant les administrateurs et les membres de la communauté. Grâce à cette analyse approfondie, les enquêteurs ont établi des liens entre un compte Telegram spécifique, un profil GitHub et des historiques d'infection par des logiciels malveillants destinés au vol d'informations. Ces corrélations ont abouti à l'identification de deux numéros de téléphone et de trois adresses de protocole Internet servant d'indices concrets pour le suivi de l'identité numérique des suspects.

Le rapport intitulé Analyse étendue du suivi des membres de la communauté liée à YY520CN, rédigé le neuf octobre deux mille vingt-six, détaille cette opération de suivi. L'enquête initiale s'était concentrée sur le compte Telegram YY520CN, qui avait été précédemment identifié comme ayant participé à la promotion de services d'attaque et à la vente de serveurs anonymes pendant environ vingt-huit mois. La nouvelle phase de l'enquête se distingue par son approche collective, car elle ne se limite pas aux actions individuelles d'un seul acteur mais examine la structure opérationnelle complète du groupe. En utilisant leur plateforme de suivi Telegram, les analystes ont examiné une annonce des administrateurs datée du vingt-six septembre deux mille vingt-quatre au sein des communautés GodNet et VITAS. Après exclusion des doublons, dix-neuf comptes ont été répertoriés, dont dix-sept comptes standards et deux robots automatisés. Le compte YY520CN y figurait en tant que superviseur, tandis que les autres étaient classés comme opérateurs officiels, gestionnaires, bénévoles ou responsables de la publicité.

Une attention particulière a été portée au compte HangHang2017, identifié comme un bénévole au sein de cette communauté. L'analyse de vingt entrées de profil Telegram couvrant la période d'avril deux mille vingt-quatre à mai deux mille vingt-cinq a révélé deux numéros de téléphone associés à différentes périodes. En croisant ces données avec des informations provenant de GitHub via une plateforme de suivi du web sombre, les enquêteurs ont découvert un dépôt de code source sous le nom d'utilisateur oswaldlow. Ce dépôt contenait un service nommé DemonSword qui listait explicitement HangHang2017 comme contact. De plus, l'historique des modifications du code source et la description du profil GitHub affichaient le même contact Telegram, établissant un lien technique entre l'activité de développement et le compte de messagerie. Cependant, il reste nécessaire de vérifier davantage si les informations de l'auteur sur GitHub et le contact Telegram sont gérés par la même personne physique.

L'investigation a également mis au jour trois enregistrements historiques d'infections par des logiciels malveillants de vol d'informations, collectés en novembre deux mille vingt-et-un, mai deux mille vingt-deux et février deux mille vingt-trois. Ces enregistrements contenaient des identifiants et des adresses de protocole Internet liés aux comptes analysés, avec des références aux souches de logiciels malveillants RedLine et Raccoon. Les données observées comprenaient des noms d'utilisateurs Windows, des chemins de stockage OneDrive ainsi que des comptes Microsoft et Oracle Cloud. Bien que trois adresses de protocole Internet distinctes aient été sécurisées grâce à ces archives, il n'est pas confirmé qu'elles proviennent du même ordinateur ou qu'elles aient été utilisées comme points de départ pour les attaques récentes contre le secteur financier. Ces adresses représentent des observations passées liées à des comptes compromis et non une preuve directe de l'infrastructure utilisée pour les incidents actuels.

Par ailleurs, l'analyse de fichiers partagés sur Telegram entre avril deux mille vingt-trois et septembre deux mille vingt-six a permis de détecter au moins cent un fichiers contenant des informations compromises. Ces documents, classés comme fichiers Combo ou ULP, regroupaient des combinaisons de noms d'utilisateur et de mots de passe ainsi que des adresses de sites web avec des identifiants de connexion. Il est important de noter que ce nombre reflète le volume de fichiers observés et ne signifie pas nécessairement que cent un incidents de piratage distincts se sont produits. StealthMole a confirmé que les identifiants de ces comptes ont été redistribués sur plusieurs canaux sur une longue période, sans pouvoir valider l'identité des auteurs initiaux du vol ni l'validité actuelle des informations. Des traces d'activité technique supplémentaire ont été trouvées, incluant des modifications de scripts d'installation de proxy et des adresses utilisées pour la gestion de serveurs et le stockage en réseau, bien que la propriété réelle de ces infrastructures ne soit pas directement prouvée.

Malgré ces découvertes techniques significatives, aucune preuve n'établit actuellement que les membres de cette communauté, y compris HangHang2017, ont directement participé ou conspiré dans les récents piratages du secteur financier sud-coréen. Le simple fait d'évoluer dans la même communauté en ligne que le suspect principal YY520CN ne suffit pas à les qualifier de membres d'un groupe d'attaque commun. Les matériaux recueillis illustrent des connexions entre des comptes et des activités sur diverses plateformes, mais ils ne révèlent pas l'identité légale, la nationalité ou le lieu de résidence des opérateurs réels. Les autorités chargées de l'enquête devront suivre des procédures juridiques appropriées pour obtenir des dossiers d'abonnement aux communications, des historiques de connexion et des identifiants d'appareils afin de comparer ces éléments avec les résultats de l'analyse et de confirmer l'implication réelle des individus dans les cyberattaques.