Vue d’ensemble
PEAR, pour Pure Extraction And Ransom, est une équipe d’extorsion que le suivi liste pour la première fois le 5 août 2025. Elle se décrit comme une équipe privée sans lien avec d’autres acteurs de la menace. Le suivi l’associe à l’hameçonnage, à l’exécution par l’utilisateur via copier-coller malveillant, à PowerShell, au vol d’identifiants de navigateur, à la mise en zone de transit des données et à l’exfiltration par des services web et des webhooks. Son entrée égyptienne dans nos données est une société de services IT listée le 6 mars 2026.
- Premier suivi: 2025-08-05
- Alias: Pure Extraction And Ransom
- Citée dans nos rapports: Égypte
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
France1
Norvège1
Égypte1
Suisse1
Allemagne1
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Outils
Aucun élément recensé dans les sources examinées.
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| 403 Forbidden | Files | psvrn6ahevi6dgf55bzc26q3gjc7s6n7vcth34rmkl2y7e7dijhjfiqd[.]onion | Non |
| PEAR | DLS | pearsmob5sn44ismokiusuld34pnfwi6ctgin3qbvonpoob4lh3rmtqd[.]onion | Oui |
| 403 Forbidden | Files | glheoet37vdimgho57tqj76v7fnebnbqxn65bounxyt6hduilkso4yyd[.]onion | Oui |
| 403 Forbidden | Files | 757ylxaeemidrhrmmuz6rkxw5jlk65oqou3lvi6evxtrr2nhm5ytmrqd[.]onion | Oui |
| 403 Forbidden | Files | aw6wb6lmqbtp5po7qrmvmujulbxw4eeeolpg3byva2bgoj44psdugmid[.]onion | Oui |
| 403 Forbidden | Files | 5qynbyjl4u6vbtnmpokslaxaknyicdvty7vn2qgxmaty3lb7wwxpkbid[.]onion | Oui |
| 403 Forbidden | Files | q2bg7ljsrpmy6736qqmpwsnqqm3w6d3hhrokohytnmldbom7sthp4sad[.]onion | Oui |
| 403 Forbidden | Files | zvacnemrrluposfmwgp4bqvb34ipoorgh7yyqoozu6gcmh5z32wjgsad[.]onion | Oui |
| 403 Forbidden | Files | e7a6zgqfijn2ko6lzkz53tysjpnf22fxj4h2f3saufrmsts5pbul5eid[.]onion | Oui |
| PEAR | DLS | peargxn3oki34c4savcbcfqofjjwjnnyrlrbszfv6ujlx36mhrh57did[.]onion | Oui |
| 403 Forbidden | Files | m3wwhkus4dxbnxbtihexlyd2cv63qrvex6jiebc4vqe22kg2z3udebid[.]onion | Oui |
| 403 Forbidden | Files | 3hzi7qjklm632atxj5k67p3bxdie5aipvf6tsbtc2xlfbcellujyxryd[.]onion | Oui |
| 403 Forbidden | Files | smnalvhqecyjf7reptunoevh6jd6x7ofpz4tj2plyg5a4q667givgqyd[.]onion | Oui |
| 403 Forbidden | Files | diyr2bnty7iktyxfd4kz65uigcfappjvux73dpgkkeocp3fmlgnuzyyd[.]onion | Oui |
| 403 Forbidden | Files | wu22mxmkgd4hgs7j3x7aqurgzhwzy3gf5qpwngpobpnet4i6myebutyd[.]onion | Oui |
| 403 Forbidden | Files | csxilwnl7orv6rwfjen5ye3tefk5shjtr4tysuykgxjsyngpvoqrvbid[.]onion | Oui |
| 403 Forbidden | Files | njqaowdto3tfbbco575fkmhahszxfw7fiprbfmt6y6kfy5fntt45akyd[.]onion | Oui |
| 403 Forbidden | Files | xsomiaq5awxh3zkzn334s3dgwuvngy6z2to7265exgovnkwk66hjypid[.]onion | Oui |
| 403 Forbidden | Files | etus2tmakckdlkyjpevoyciuao7er5fj3qm26aev3nch4fusptefiayd[.]onion | Oui |
| 403 Forbidden | Files | xq5m6ofel63h57by46algju25g37zkdwoxxt7ij45b6obo4mxzc3h6id[.]onion | Oui |
| 403 Forbidden | Files | shtobqdovtbat7fvnoq6lqwi3rqirel6l2r6sqxiidfq5g33tqms6kyd[.]onion | Oui |
| 403 Forbidden | Files | yxwomyfmexm3bfcuumnugrzwluol5qwsw6pmne7jklgmzthkp35l2jqd[.]onion | Oui |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-17