Vue d’ensemble
CoinbaseCartel se spécialise dans l’acquisition de données par l’accès aux systèmes et par des partenariats stratégiques. Elle se concentre exclusivement sur l’exfiltration de données : ses opérations n’impliquent jamais de chiffrement de systèmes ni de perturbation opérationnelle.
Ce que disent les sources publiques
Alias: shinysp1d3r
- Groupe d’extorsion par vol de données uniquement, actif depuis septembre 2025, qui ne chiffre pas les systèmes. Certains chercheurs l’évaluent comme une opération d’affiliés au sein du collectif lâche Scattered LAPSUS$ Hunters (ShinyHunters, Scattered Spider, LAPSUS$) ; ce lien repose sur des recoupements d’infrastructure et de techniques et reste contesté.
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique76
Allemagne12
Émirats Arabes Unis12
France11
Royaume-Uni10
Brésil7
Canada7
Indonésie6
Japon4
Belgique4
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1078.004 · Valid Accounts: Cloud Accounts: Forte focalisation sur le vol d’identifiants de plateformes SaaS (Salesforce, Microsoft 365).
- T1091 · Replication Through Removable Media: Bien que moins courantes, des tentatives via des prestataires (initiés ou tiers corrompus) ont été enregistrées.
- T1133 · External Remote Services: Abus de VPN et de RDP avec des identifiants récoltés par des infostealers ou achetés auprès de courtiers d’accès initial (IAB).
- T1566.003 · Phishing: Spearphishing Voice (Vishing): Recours à l’ingénierie sociale vocale pour inciter des employés à autoriser des applications OAuth malveillantes.
Exécution (TA0002)
- T1059.004 · Command and Scripting Interpreter: Unix Shell: Le loader shinysp1d3r est exécuté par des scripts shell sur des systèmes ESXi.
- T1059.006 · Command and Scripting Interpreter: Python: Utilisation de scripts sur mesure imitant des outils légitimes (par exemple Salesforce Data Loader) pour une exfiltration rapide.
- T1204.002 · User Execution: Malicious File: Tromperie des utilisateurs pour les amener à exécuter de faux connecteurs OAuth.
Persistance (TA0003)
- T1098.003 · Account Manipulation: Additional Cloud Credentials: Ajout de nouveaux secrets ou clés à des applications OAuth existantes pour conserver l’accès même après un changement de mots de passe.
- T1136.001 · Create Account: Local Account: Création d’utilisateurs administrateurs « fantômes » sur les hôtes VMware.
Évasion des défenses (TA0005)
- T1036.005 · Masquerading: Match Legitimate Name or Location: Renommage de binaires malveillants avec les noms de processus VMware critiques ou d’outils de sauvegarde.
- T1070.001 · Indicator Removal: Clear Windows Event Logs: Nettoyage systématique des syslogs et des journaux d’audit dans les environnements ESXi.
- T1562.001 · Impair Defenses: Disable or Modify Tools: Désactivation des instantanés de machines virtuelles avant le chiffrement (lorsqu’ils en font le choix).
Découverte (TA0007)
- T1018 · Remote System Discovery: Énumération des objets Active Directory à partir de comptes d’utilisateurs non privilégiés.
- T1083 · File and Directory Discovery: Analyse des datastores vCenter pour identifier les machines virtuelles et bases de données critiques.
- T1538 · Cloud Service Dashboard: Exploration des consoles AWS/Azure pour identifier les volumes EBS et les instances S3.
Exfiltration (TA0010)
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: Utilisation d’outils comme Rclone pour envoyer des données vers des fournisseurs tels que Mega ou Dropbox.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Technique secondaire, centrée sur les fichiers .vmdk via le loader shinysp1d3r.
- T1657 · Financial Theft: Extorsion directe fondée sur la menace de divulguer des données sur des forums Onion (sites de fuite).
Outils
Aucun élément recensé dans les sources examinées.
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| System Breach • Coinbasecartel | DLS | fjg4zi4opkxkvdz7mvwp7h6goe4tcby3hhkrz43pht4j3vakhy75znyd[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11