Opération Black Hole - Dossier médico-légal

Enquête sur un réseau frauduleux multi-applications

Numéro de dossier : OBH-2025-CST-001 Analyste : Sulaiman Alshammari - Division médico-légale GraTech Date : Avril 2026 Méthodologie : OSINT + Criminalistique numérique autorisée (ISO 27037, NIST SP 800-86)

AVERTISSEMENT : Il s'agit d'un portfolio public de recherche médico-légale. Toutes les valeurs sensibles (identifiants, adresses de portefeuille, clés API) ont été SUPPRIMÉES. Ce document est préparé pour soumission à la Communications, Space & Technology Commission (CST) d'Arabie Saoudite. Aucun accès ou exploitation non autorisé n'a été effectué. Toutes les preuves ont été collectées via OSINT et des méthodes autorisées uniquement.

Résumé exécutif

Ce référentiel documente Operation Black Hole, une enquête sur un réseau multi-éditeur, multi-juridiction d'applications de chat vocal/cadeaux qui partagent infrastructure, identités de développeurs et pipelines financiers.

L'enquête a identifié 5 applications (haute confiance) et 1 application supplémentaire (confiance moyenne) opérant comme un réseau coordonné unique sous différents noms d'éditeurs à Hong Kong, Singapour et Shenzhen.

Principales conclusions

Attribution des applications (par niveau de confiance)

Éditeur iOS (partagé) : Shenzhen Yinguo Network Technology Co., Ltd. publie Falla Lite, TooFun, Taeal et JoyMi sous un seul compte.

Critères d'attribution

Les applications sont liées en fonction de : correspondance d'identité de l'éditeur, motifs de préfixe d'ID de paquet (com.iyinguo.*), adresses e-mail de développeur partagées, adresses physiques partagées et comptes d'éditeur iOS partagés. Voir analysis/app-attribution-matrix.md pour tous les détails.

Infrastructure

• Triangle d'opérations : Dubaï (passerelle financière) → Singapour (coquille légale) → Chine (noyau technique)
• Hébergement : Tencent Cloud, AS139341 (ACE-SG), Collyer Quay, Singapour
• Panneau d'administration : point de terminaison /fallaadmin découvert via FFUF (47+ points de terminaison cachés)
• Blockchain : réseau de portefeuilles TRON (TRC-20 USDT) pour la distribution de fonds

Vulnérabilités documentées (6 au total)

Structure du référentiel

operation-black-hole/
├── README.md                              # This file
├── METHODOLOGY.md                         # Investigation methodology & ethical boundaries
├── evidence/
│   ├── admin-panels/
│   │   └── fallaadmin.js                  # Extracted admin panel source (REDACTED)
│   └── forensic-images/
│       └── disk-hashes.sha256             # SHA-256 chain of custody manifest
├── analysis/
│   ├── app-attribution-matrix.md          # App-to-entity mapping with confidence levels
│   ├── infrastructure-map.md              # Network topology (Mermaid diagrams)
│   ├── financial-flow.md                  # Money laundering flow analysis
│   └── technical-report.md                # Full technical analysis
└── presentation/
    └── cst-interview-deck.md              # CST technical presentation

Hachages de preuves vérifiés

Fichiers de preuves clés du poste de travail médico-légal (SHA-256) :

Remarque : Le fichier fallaadmin.js dans ce référentiel est une version SUPPRIMÉE de l'original. Le fichier original (hachage ci-dessus) est conservé dans l'archive de preuves chiffrée. Une différence de hachage est attendue en raison de la suppression des identifiants et clés API.

Cadre juridique

• Loi saoudienne anti-cybercriminalité (Décret royal n° M/17)
• Loi anti-blanchiment d'argent (Décret royal n° M/31)
• Loi sur la protection des données personnelles (PDPL)
• Exigences de licence SAMA (conformité des passerelles de paiement)

Méthodologie

Voir METHODOLOGY.md pour tous les détails sur la méthodologie d'enquête, les outils, les limites éthiques et les procédures de chaîne de possession.

Contact

Sulaiman Alshammari Division médico-légale GraTech Numéro de dossier : OBH-2025-CST-001