Skip to content
KitploitKITPLOIT
OutilsExploitsBlog
Log in
Soumettre
OutilsExploitsBlog
Soumettre

Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !

Kitploit est un répertoire d'outils de hacking, de cybersécurité et de pentesting. Découvrez les dernières mises à jour des projets pour trouver des vulnérabilités, analyser des systèmes, automatiser les tests et renforcer votre sécurité.

FluxContactConfidentialité© 2026 Kitploit

Répertoire d'outils

Catégories

Voir toutes les catégories
Loading categories
taikotalent-phishing-iocs — IoC, chaîne d'attaque et détection pour la campagne de faux recruteur Taiko sur taikotalent.xyz, qui diffuse un trojan Bash auto-suppresseur via l'astuce « anti-bot » consistant à coller une commande dans le terminal. La charge utile est toujours active au 2026-10-09. | Kitploit
Outils/GitHubGitHub/eddyflores100-lang/taikotalent-phishing-iocs
Gestion des Indicateurs de Compromission (IOC)Analyse ForensiqueHameçonnageAnalyse de MalwareIngénierie SocialeRenseignement sur les MenacesRéponse aux IncidentsSécurité des Emails

Populaires

Voir tout →

Découvrez les outils les plus utilisés par notre communauté.

Explorer tous les outils

Parcourez notre collection d'outils

Voir tous les outils →
GitHub
eddyflores100-lang/taikotalent-phishing-iocs

taikotalent-phishing-iocs

IoC, chaîne d'attaque et détection pour la campagne de faux recruteur Taiko sur taikotalent.xyz, qui diffuse un trojan Bash auto-suppresseur via l'astuce « anti-bot » consistant à coller une commande dans le terminal. La charge utile est toujours active au 2026-10-09.

Voir le dépôtSite web
38il y a 5 joursPas encore vérifié
Partager

taikotalent.xyz — Cheval de Troie en terminal de faux recruteur (IoC et détection)

STATUT : RETIRÉ. Le domaine malveillant taikotalent.xyz a été suspendu par son registrar (clientHold) le 2026-10-10 à 02:39 UTC — environ 12 heures après notre signalement étayé par des preuves auprès d'AWS abuse, alors que la charge utile était toujours active. Vérifié le 2026-10-15 via RDAP et DNS. Détails dans la chronologie ci-dessous.

MISE À JOUR 2026-10-15 — DOMAINE D'HAMEÇONNAGE RETIRÉ. taikotalent.xyz et hr.taikotalent.xyz renvoient désormais NXDOMAIN (vérifié via DNS-over-HTTPS, 2026-10-15) — 10 jours après les signalements coordonnés du 5 octobre (dossier AWS 179121234700301, ticket NameCheap NC-DFA-2100, 13 canaux notifiés). Les URL de la charge utile (/verify_m, /verify_w) ne se résolvent plus.

PARTIELLEMENT RÉSOLU — la couche C2 est toujours active : api.gaganata.ink (104.21.84.196 / 172.67.196.60) et api.fallgganata.ink se résolvent toujours derrière Cloudflare et répondent en HTTP (404 lors de la sonde, 2026-10-15). Les signalements d'abus pour les domaines gaganata.ink / fallgganata.ink restent en attente auprès du registrar et de Cloudflare (le formulaire d'abus exige un navigateur + Turnstile).

Statut au 2026-10-09 00:46 UTC (historique) : charge utile toujours active — https://taikotalent.xyz/verify_m → HTTP 200, 49 916 octets, identique octet pour octet à l'échantillon du 5 octobre, plus de 4 jours après le signalement d'abus à AWS.

Une campagne d'hameçonnage ciblée usurpant l'identité de Taiko (l'entreprise de rollup Ethereum — domaine réel taiko.xyz, sans aucune affiliation avec taikotalent.xyz) envoie de faux e-mails de recrutement « poste d'ingénieur » à des développeurs open source, dont les coordonnées sont collectées depuis leurs profils GitHub publics. Le faux « portail de candidature » aboutit à une page « Vérification anti-bot avec Terminal » qui persuade la victime de coller une commande de téléchargement dans son propre terminal — aucune exploitation nécessaire, l'utilisateur exécute lui-même le malware.

Chronologie du retrait

Date (UTC)Événement
2026-10-05Campagne reçue ; échantillon mis en quarantaine ; rapport forensique complet envoyé (dossier AWS 179121234700301, Resend, Taiko)
2026-10-09Divulgation élargie : ce dépôt, gist, dev.to, snippet GitLab, Telegraph ; 9 notifications supplémentaires dont NameCheap abuse (→ ticket NC-DFA-2100), Softshellweb (hébergeur de la charge utile), Cloudflare (C2), APWG, OpenPhish, oss-security, 3 médias. Charge utile toujours identique octet pour octet et active
2026-10-15taikotalent.xyz / hr.taikotalent.xyz → NXDOMAIN. Infrastructure d'hameçonnage hors ligne 10 jours après le premier signalement. Le C2 (api.gaganata.ink, api.fallgganata.ink) se résout toujours derrière Cloudflare

Pourquoi c'est important

  • L'aspect inédit : le schéma d'ingénierie sociale du terminal-comme-CAPTCHA — une fausse vérification anti-bot qui fait de l'exécution du stager l'étape de « vérification ».
  • L'aspect responsabilité : signalé via les canaux appropriés le 5 octobre (numéro de dossier AWS, Resend, Taiko) avec un rapport forensique complet ; l'URL du cheval de Troie sert toujours une charge utile identique octet pour octet le 9 octobre.
  • L'aspect confiance : SPF et DKIM passent tous deux — l'authentification prouve le contrôle d'un domaine vieux de 8 jours, pas sa réputation. Les passerelles de messagerie qui considèrent un DMARC pass comme un gage de sécurité sont exposées.
  • L'aspect forensique : conception anti-forensique — stager auto-supprimant, second étage encodé en base64 dans /var/tmp/.kdm.*, détaché via un double fork perl, boucle de nettoyage à 60 tentatives.

Indicateurs de compromission

TypeValeurContexte
Domainetaikotalent.xyzEnregistré le 2026-09-27 (Namecheap), 8 jours avant la campagne
Sous-domaine d'envoihr.taikotalent.xyzDKIM d= ; MX → passerelle entrante AWS SES
Expéditeur[email protected]Fausse identité « Joseph Quintana, Talent, Taiko »
IP d'envoi23.249.215.58d215-58.smtp-out.sa-east-1.amazonses.com (Amazon SES via Resend)
Portailhttps://taikotalent.xyz/SPA « invitation privée », codes Ref par destinataire (Ref-oxqgd77kb9zw14)
ExfiltrationPOST /track-activityEmpreinte de l'appareil + nom/e-mail/nom d'utilisateur GitHub à chaque étape du formulaire
Charge utile (macOS/Linux)https://taikotalent.xyz/verify_mStager bash « deepfake_guard » de 49 916 o — ACTIF le 2026-10-09
Charge utile (Windows)https://taikotalent.xyz/verify_wLanceur v.cmd, fenêtre masquée
C2https://api.gaganata.ink/guard-launcher-resultBalise de statut d'installation (Namecheap, derrière Cloudflare)
C2 de secourshttps://api.fallgganata.inkPoint de terminaison secondaire
IP de l'hôte de la charge utile193.160.32.10Shock Hosting (US-SHOCK1-20191118)
Second étage/var/tmp/.kdm.XXXXXXÉtage embarqué décodé en Base64 ; auto-suppression anti-forensique

Principaux hachages SHA-256

ArtefactSHA-256
verify_m mis en quarantaine le 2026-10-05 (49 916 o)c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d
verify_m récupéré ACTIF le 2026-10-09c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (identique octet pour octet)
E-mail de phishing original (brut)84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564
Pièce jointe .eml originale (11 098 o)3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3
Rapport d'analyse forensique PDF (17 pages, 201 044 o)d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c

Vérifiez-le vous-même (non destructif)

curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d   (do NOT execute the download)

Détection

YARA (voir yara/bash_stager_taikotalent.yar)

Vérification de compromission de l'hôte (macOS/Linux) :

ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null

Réseau : bloquer/surveiller les sorties vers *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz (y compris le sous-domaine hr.).

Admins mail : traiter un SPF/DKIM pass provenant de domaines récemment enregistrés comme neutre — l'authentification ≠ la réputation.

Chaîne d'attaque

Télécharger l’outil