Des listes de cybercriminels à télécharger

Si vous faites un peu de renseignements (OSINT) et que ce que vous cherchez, c’est des pseudos de cybercriminels, spmedia a un truc qui devrait vous plaire. Son repo GitHub
Threat-Actor-Usernames-Scrape
rassemble environ 773 000 pseudos uniques récupérés sur des forums de cybercriminels. C’est gratuit, en accès libre. Et ça peut vous faire gagner pas mal de temps si vous faites de l’
OSINT
.

Son délire, c’est de scraper les sections "Who’s Online", les threads et les réponses de forums comme HackForums, DarkForums, BreachForums, XSS.pro, Dread, OGUsers et une vingtaine d’autres, ou de récupérer des extraits de fuites. L’intérêt de ce genre de truc, c’est de capter ces données pour ensuite les réutiliser dans vos propres projets. Ça vous permet par exemple de préparer un fichier texte propre par forum, qui est prêt à être ingéré dans un
TIP
(Threat Intelligence Platform) ou croisé avec vos données.

Au total, y’a environ 820 000 noms d’utilisateurs dans ce repo, dont ~46 000 en double. Les plus gros forums actifs sont Cracked.sh (~226 000 pseudos collectés), DarkForums.su (~75 000) et Altenen.is (~74 000). Côté forums morts, BreachForums.st domine avec ~57 000 entrées, devant la fuite Nulled (~42 000) et BreachForums.as (~39 000).

Il y a de quoi fouiller, quoi…

Spmedia a monté ce projet parce qu’il en avait marre des boîtes de threat intel qui facturent 5 à 6 chiffres par an pour accéder au même genre de données. On peut donc lui dire merci, même si ça ne remplace pas un vrai service CTI avec contexte et analyse. C’est juste des noms d’utilisateur sans autre enrichissement. Faudra donc croiser ça avec d’autres sources mais pour du pistage de pseudo ou une wordlist ciblée, ça peut aider.

Vous pouvez par exemple utiliser ces listes pour repérer un même pseudo sur plusieurs forums, constituer des wordlists ou simplement suivre quels sites ressortent après un takedown. Certains disparaissent, d’autres reviennent 48h plus tard sous un nouveau TLD (ambiance hydre de lerne, quoi).

Chaque fichier contient un pseudo par ligne et l’import dans un SIEM ou un script Python vous prendra 2 minutes. N’oubliez pas non plus qu’une bonne partie de ces comptes sont des kiddies ou des curieux, donc croisez toujours avec d’autres sources avant de pointer du doigt qui que ce soit…

Bref, si la chasse aux cybercriminels vous branche, vous pouvez
récupérer les listes sur GitHub
et voir ce que ça donne.

Amusez-vous bien !

Source : korben.info