Quelques mots de vocabulaire

• Infostealer : logiciel malveillant dont l'unique mission est de copier sur la machine infectée tout ce qui permet de se faire passer pour son propriétaire - mots de passe, cookies de session, portefeuilles crypto.

• Cookie de session : le sésame que le navigateur présente à un site pour prouver que vous êtes déjà connecté. Le posséder permet d'entrer dans le compte sans mot de passe, et souvent sans la double authentification.

• Serveur de commande (C2) : le serveur des pirates, auquel le malware se connecte pour recevoir ses ordres et y envoyer le butin.

• Remise en vente : les données volées sont vendues comme un stock sur des boutiques Telegram ; une même machine compromise peut y réapparaître plusieurs fois.

• Fiche victime : la « carte d'identité » de la machine compromise mise en vente (système, utilisateur, matériel, antivirus...), qui prend la forme d'un fichier texte accompagnant le butin extrait de la machine - il s'agit des informations recueillies par l'infostealer sur la machine victime lors de l'infection permettant de la caractériser.

Un stealer, deux noms

Les deux noms désignent la même famille : les chaînes utilisent les mêmes ports du serveur de commande (406/408/1488), le même code d'acceptation du butin (auth_ok), la même adresse /task/Stealer et la même ruse de persistance - se copier dans C:\ProgramData\Windows\Microsoft\ sous le nom d'un composant Windows légitime (RuntimeBroker*).

Le produit est versionné et développé en continu :

La date de fabrication du 8 septembre coïncide avec la montée en puissance de l'infrastructure : enregistrement du domaine gitrm.sbs le 11 septembre, signalements URLhaus les 17–18 octobre. Une boutique sœur, Dark Stealer V.3.1 (mars 2026, marque russe), appartient au même écosystème commercial.

La chaîne d'infection

Détails marquants :

• Verrou anti-analyse : le premier script s'annonce avec une signature aléatoire ; le serveur ne répond qu'aux clients attendus - un robot d'analyse qui ne connaît pas le mot de passe reçoit le silence.
• Fausse installation : barre de progression « [1/3] Checking for Updates... » puis message d'erreur volontairement crédible (« Failed to load DLL: keygen.dll ») - la victime obtient une explication à l'échec apparent du logiciel, pendant que la chaîne malveillante a déjà tout exécuté.
• Effacement des traces : l'historique des commandes PowerShell est purgé à la fin de la chaîne.
• Connaissance des réseaux d'entreprise : le programme s'adapte au proxy d'entreprise et utilise ses identifiants - l'auteur a prévu les réseaux où le trafic sortant est filtré.
• Contournement des contrôles administrateur (UAC), détection des outils d'analyse et des machines virtuelles de laboratoire.

Un malware modulaire : le module de vol est livré à la demande

Le programme installé en persistance n'est pas le voleur lui-même. C'est un malware d'accès à distance (C++ x64, obfusqué) qui reçoit ses ordres et fait livrer à la demande un module de vol séparé :

Deux verrous internes (mutex Global\RuntimeBrokerAds et Global\StealerLib) organisent la coexistence des composants. Cette architecture est la clé de la durée de vie de la famille : le programme persistant reste discret pour les antivirus, et le module de vol - qui apparaît après coup - est remplaçable sans toucher à la persistance.

Ce qu'il vole

• Mots de passe enregistrés dans les navigateurs (Chrome, Edge, Firefox) et leurs données de remplissage automatique.
• Cookies de session : le sésame qui permet d'entrer dans les comptes sans mot de passe et sans double authentification.
• Portefeuilles crypto : fichiers ciblés chez Electrum, ElectronCash et Jaxx Liberty.
• Identifiants FTP/SSH : sessions FileZilla et WinSCP - les accès aux serveurs web des victimes.
• Captures d'écran : le bureau est photographié avant et après le lancement du module de vol.
• Reconnaissance : géolocalisation, numéro de série du disque, antivirus installé - la fiche de la victime est remplie avant la livraison du module.

L'économie de la revente : la chaîne complète, du vol à la liquidation

L'infrastructure suit un calendrier commercial : shells.su (août, contact d'enregistrement krassavchik13370@gmail.com), gitbase.su, verificator.cc et genesis-hub.cc (juillet, même hébergement 192.162.199.184), puis gitrm.sbs et sa boutique mops.to (septembre–octobre, serveur de commande 45.91.202.47, aux Pays-Bas) - chronologie d'infrastructure de bout en bout documentée par l'enquête winslow1984 (sept.-oct. 2026). Les serveurs des pirates laissent aussi traîner une maladresse inhabituelle chez des criminels : des services d'accès à distance Windows ouverts au public - de quoi laisser des empreintes aux chasseurs de menaces.

Livraison : un réseau de faux dépôts GitHub

Les dépôts de leurrage simulent des logiciels populaires (Adobe Acrobat Pro, mineurs crypto, bots Instagram) et gonflent artificiellement leurs étoiles et leurs forks grâce à des réseaux de comptes de promotion - réseau documenté par l'enquête winslow1984 :

MillipedeLoad/Adobe-Acrobat-Pro          GulfMouseVice/crypto-miner-gpu-cpu-hashrate
Binaryunenhance/instagram-liker-bot-...    HyperIllusionistTap/Whale-Tracker-Analytics
gitlerzov1488gitler-cmd/RUST-2026-A-I-M  dev-Warrior65621/Adobe-Acrobat-Pro

Des données volées vendues avec le moyen de les exploiter intégré

Les boutiques injectent des publicités payantes en tête de chaque fiche victime - la preuve que le vol n'est que la première brique d'une chaîne logistique complète :

• Achat de comptes Twitter : « J'achète tout Twitter à partir de vos données volées ! À partir de 20k abonnés, badge Blue pas obligatoire, badges dorés/gris » - @REDACTED, thread lolz.team.
• Cracking de portefeuilles crypto : « Mots de passe cassés pour Exodus, Metamask, Phantom, Electrum, Trust Wallet... nous acceptons aussi Exodus/Electrum directement depuis le butin, même sans solde connu. 75/25 sur tous les soldes » - dépôt en bitcoin.
• Promotion d'un messager anonyme (REDACTED.pro), de réseaux de trafic (@REDACTED) et de bots de vente (@REDACTED / @REDACTED / @REDACTED).

Le stock circule : remises en vente et boutiques concurrentes

Les données STEALINT montrent un stock qui circule : les 243 fiches victimes portant la signature Mops Stealer ne représentent que 120 machines compromises distinctes - chaque poste est remis en vente jusqu'à 6 fois (2 fiches en moyenne), parfois chez des revendeurs différents. L'identifiant de revendeur le plus fréquent (Lid 5820583016, 142 fiches) et des lots maquillés par certains vendeurs complètent le tableau d'une revente organisée.

En aval, les identifiants volés deviennent de l'inventaire : revente de comptes de jeu « non rattachés » à ~2 $ sur une boutique publique (661savage.store), outils d'import de sessions Steam (archievable.exe) qui réinstallent un accès volé sur une autre machine, spam promotionnel (marawex.com, tetsobet.com), fraude Amazon par petites étapes (25 $ validés avant de tenter 100 $), et gaspillage des quotas des outils d'IA (~70 $ d'usage non autorisé sur Cursor). L'enquête winslow1984 a documenté ce parcours de bout en bout, jusqu'à identifier le revendeur par enquête en sources ouvertes (Steam, TikTok, PSN, Discord, registres publics).

Analyse STEALINT : Portrait des victimes françaises

Les données STEALINT (octobre–novembre 2026) isolent 243 fiches victimes de machines compromises françaises portant toutes explicitement la signature du Mops Stealer - version du stealer, identifiant du revendeur et vitrine de la boutique inclus dans chaque fiche. C'est ce lot complet qui est analysé ici.

Versions utilisées

(Comptage par fiche victime : la même machine compromise peut être remise en vente plusieurs fois - voir ci-dessous.)

La V3 est devenue quasi exclusive : la génération précédente a disparu du marché. Deux générations en parallèle il y a un mois, une seule aujourd'hui - signe d'une consolidation active du produit.

Le stock de comptes volés circule : 243 fiches pour 120 machines

• 120 machines compromises distinctes derrière les 243 fiches victimes (124 adresses IP distinctes) ;
• la même machine est remise en vente jusqu'à 6 fois - 59 machines à 1 fiche, 18 à 2, 29 à 3, 11 à 4, 1 à 5, 2 à 6 fiches - soit en moyenne 2 fiches par machine ;
• un poste compromis une fois peut donc être représenté par plusieurs boutiques pendant des semaines : acheté chez un revendeur, il l'est souvent chez un autre, monétisé autant de fois qu'il y a d'acheteurs.

Calendrier de publication des lots

Le calendrier suit ici les dates de publication des lots, qui diffèrent des dates d'infection des machines. Deux grosses rafales : le 22 octobre (49 fiches) et le 28 octobre (57 fiches). La publication se fait à la main, en gros lots, dans une montée continue de l'activité depuis la mi-septembre - et le rythme ne faiblit pas à l'approche de novembre.

Revendeurs et identifiants

Chaque fiche porte la marque du revendeur :

• Configuration : @REDACTED (96 fiches), Arhont (@REDACTED, 9), BuzzLogsPlanet combiné à RogueCloud / PurpleCommandos / Patched_Cloud (11 au total) ;
• Vitrines : t.me/REDACTED (64 fiches), REDACTED.com avec la mention « Version: Russia 34 » (56 fiches, dont 9 via l'adresse crypto REDACTED.eth), @REDACTED (51 fiches) ;
• Identifiants de revendeur (« Lid ») - l'identifiant du lot d'où vient la victime : 5820583016 (142 fiches, le nouveau champion de ce lot), 8593640908 (50), 8270706215 (12), 8894987090 (8). Le Lid 5820583016 est uniquement vendu par @REDACTED - un même opérateur concentre la plus grosse source de victimes françaises.

Au-delà des chiffres, la structure de la revente est un indice en soi : boutiques spécialisées dans les logs, vitrines brandées, identifiants de lots partagés entre plusieurs boutiques, lots maquillés, publicités payantes d'acheteurs en tête de fiche - tout ce petit monde existe déjà ailleurs pour d'autres familles. Ce lot démontre que Mops Stealer est pleinement implanté dans l'écosystème cybercriminel des infostealers : le produit s'écoute dans les mêmes canaux Telegram, alimente les mêmes boutiques de revente et suit les mêmes codes que les familles installées, et non un circuit de vente improvisé.

Environnement des victimes

• Antivirus au moment du vol : Windows Defender sur 220 des 243 fiches (90 %), McAfee 13, AVG 4, 360 Total Security 4, un seul cas « non identifiable ». Defender reste la protection dominante sur les postes volés - et son absence d'empêchement est l'intérêt même des infostealers.
• Systèmes : uniquement Windows 10 dans les fiches renseignées (63 Home, 60 Pro, 6 Education, aux builds 19045 à 26300) ; 107 fiches sans système précisé. Aucune mention de Windows 11 - le parc visé est le plus répandu, pas le plus récent.
• Matériel : 16-32 Go de mémoire (188 fiches sur 243), et des cartes graphiques de joueur - RTX 4060 (×22), RTX 5060 (×16), RTX 3060 (×10), GTX 1060 (×7) - montées sur des processeurs Ryzen (5700X, 5600H, 3600) et Intel Core i7-13700H. Des postes de joueur ou de créateur, coûtant de 800 à 2 500 €, pas des postes d'entreprise standardisés.
• Hypothèse de livraison : au vu des profils de victimes (gamers), l'infostealer est probablement aussi livré via des cracks de jeux piratés, des cheats et des exécuteurs - en complément des dépôts GitHub leurrés observés dans le rapport.
• Utilisateurs : des prénoms et pseudos typiques d'un public français de joueurs (lucas, celia, zakar, enzul, hammo, sayden, akryy...) cotés aux comptes Admin/Utilisateur. La langue est fr-FR sur 221 fiches (les autres : en-US, fr-BE, es-ES, et un fr-029 - le français des Caraïbes, suggérant des victimes dans les outre-mer).
• Ancienneté des postes : en moyenne 276 jours (médiane 173) entre l'installation de Windows et la mise en vente sur le marché du vol - jusqu'à près de 4 ans. Ce sont des machines établies, en usage quotidien, pas des machines jetables.

Qui est derrière

• Cœur de l'opération : les marqueurs « gitlerzov1488 » (contacts d'enregistrement des domaines shells.su et gitbase.su, ancien compte GitHub gitlerzov1488gitler-cmd, profil TikTok « Mango kartel 66 » au contenu idéologiquement explicite) désignent une opération basée en Russie, avec un réseau de revente international.
• Anthropic avait détecté la vague d'activités associée avant sa publication publique, sans l'attribuer à une famille nommée (victime elle-même du détour d'usage de son outil Cursor, relaté dans l'enquête winslow1984).
• En aval : le revendeur d'accès de jeu identifié par l'investigation OSINT de winslow1984 (Steam, TikTok, PSN, Discord, registres publics) opère depuis la Californie - sans lien démontré avec le développement du malware lui-même, mais pleinement intégré à l'économie du vol d'accès.

Pourquoi cette famille menace aussi les entreprises

• La fenêtre d'exploitation se mesure en heures : les données volées sont triées, enrichies et revendues dès leur mise en vente - les acheteurs de comptes et crackers de portefeuilles paient pour être visibles dans les fiches mêmes. Une session bancaire ou VPN volée un matin peut être exploitée le soir.
• Le mot de passe n'est pas la cible principale : ce sont les cookies de session. Réinitialiser son mot de passe n'invalide pas la session déjà ouverte de l'attaquant - des sessions Steam « suspectes » ont continué d'être utilisées alors que la double authentification était active, en réutilisant une autorisation accordée avant l'infection (cas documenté par winslow1984 : session Steam autorisée avant la date d'infection).
• La cible est d'abord la personne, pas l'entreprise : un poste de joueur contient aussi des sessions professionnelles (Microsoft 365, VPN, messageries) - le pont vers l'entreprise est le compte personnel de l'employé. Et les comptes d'administrateur système finissent eux aussi dans les fiches victimes.
• Le stock se remet en vente : un identifiant volé apparaît chez plusieurs revendeurs sur plusieurs mois (jusqu'à 6 remises en vente par poste, 2 en moyenne). Une alerte ponctuelle rate les revendeurs suivants - la surveillance doit être continue.
• La méthode d'infection est copiable : la commande « télécharger et exécuter immédiatement » correspond exactement à la technique « collez ce script dans PowerShell » déployée par de faux écrans de vérification - la même infrastructure peut servir d'autres campagnes. URLhaus le confirme : le 30 octobre, la famille était déjà livrée par un exécutable vc.exe en ClickFix sur un domaine jetable, sans passer par les dépôts GitHub.

Que faire

1. Révoquer les sessions, pas seulement les mots de passe : déconnexion globale de tous les appareils, renouvellement des jetons de connexion, réactivation de la double authentification sur les comptes sensibles.
2. Ne jamais exécuter une commande PowerShell copiée d'un site, d'un Discord ou d'un dépôt GitHub « pour vérifier » ou « installer » quoi que ce soit.
3. Traquer les signes connus : fenêtre PowerShell brève, fichier RuntimeBroker*.exe dans C:\ProgramData\Windows\Microsoft\, tâches planifiées inconnues *DefA/*UpdateA, message « keygen.dll missing », programme exécuté depuis un dossier temporaire.
4. Surveiller la revente de vos identifiants : c'est la mission de STEALINT - la plateforme surveille plus de 100 marchés et canaux Telegram (dont les boutiques citées ici) et alerte dès qu'un identifiant lié à votre domaine, vos e-mails ou vos noms d'utilisateur est mis en vente.
5. Vérifier votre exposition maintenant : le vérificateur STEALINT répond en quelques secondes, sans inscription - https://stealint.com/check
6. Suivre la vague : les statistiques d'infections par infostealers (15 derniers jours, France incluse) sont publiques - https://stealint.com/dashboard
7. Offres : surveillance en continu pour les entreprises et MSSP, accès aux identifiants compromis pour pentesteurs sous mandat signé - https://stealint.com

Indicateurs de compromission (IOCs) - pour les équipes de sécurité

Infrastructure

Fichiers

Registre Windows et verrous

• HKCU\SOFTWARE\WinRAR\Libs\mpchunk_0 → binaire exécutable caché (« Stealer_1.0.1_... »)
• HKCU\SOFTWARE\Microsoft\EventSystem → valeur mops.to / HKCU\Software\Microsoft\Event → valeur System
• Verrous : Global\RuntimeBrokerAds (programme persistant), Global\StealerLib (module de vol)

Tâches planifiées (persistance)

• MicrosoftUpdaterMachineCoreA / \Microsoft\Location\MicrosoftUpdaterMachineCore
• ScheduledDefA / \Microsoft\Windows\EDP\ScheduledDef
• ProgramDataUpdateA / \Microsoft\Windows\RegisterDeviceAccountChange\ProgramDataUpdate
• SvcRestartTaskWindowsLoginsA / \Microsoft\Windows\SoftwareProtectionPlatform\SvcRestartTaskWindowsLogins

Marqueurs protocole

ready;<id>;version;1.0.0                      (annonce du poste infecté)
info;<antivirus>;<système>;<utilisateur>;<campagne>
task;createtask;Stealer;task_id;<id>;version;1.0.2
stealer;<id>\n                                (identité d'envoi du butin, port 1488)
auth_ok                                       (accusé du serveur de commande)
Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==   (nonce d'exemple de la RFC 6455)

Règles de détection

Références

• STEALINT - vérificateur de fuite · statistiques d'infections · offres · données terrain analysées par STEALINT : 243 fiches FR de machines compromises par Mops Stealer, nov. 2026.
• Winslow1984 - « Hey, You Hacked a Hacker! Are You Ready For My Revenge? » (sept.–oct. 2026) - winslow1984.com/books/threat-intelligence/page/hey-you-hacked-a-hacker-are-you-ready-for-my-revenge - l'enquête la plus détaillée sur l'écosystème RedHive (malware modulaire, réseau GitHub, enquête d'attribution, annexe IOCs).
• Joe Sandbox, analyse n°1989432 (87cbf3ab4dd505c5.ps1, 20/10/2026) - rapport PDF joint.
• Joe Sandbox, analyses n°1981190 (5BWFavttfc.exe, 02/10/2026 - RedHiveStealer explicite, mops.to/task/Stealer), 1986453 (xOAsV6Xf0d.exe, 13/10/2026 - variante EXE directe, même serveur de commande), 1988073 (loader GCleaner + branche Mops Stealer).
• 2-Spyware : gitrm.sbs: RedHiveStealer PowerShell Malware, Removal (18/10/2026) ; idem gitview.sbs, viewgit.sbs, gitsl.xyz.
• URLhaus (abuse.ch), tag MopsStealer : première vue le 20/10/2026 16:09 UTC, 5 vues au total, toutes les URL hors ligne au dernier contrôle - le cluster de livraison signalé le 17/10 par ffforward (gitrm.sbs, gitview.sbs, viewgit.sbs, gitsl.xyz - tags powershell, ps1, iex-irm, mops_to, RedHiveStealer, classé Payload Delivery) et une 5e URL le 30/10 par 0xJustme : vc.exe sur un domaine jetable, tags ClickFix / win / x86-64.
• Forum Kaspersky Club : sujet « virus updater.exe » (référencé par winslow1984).
• PhishDestroy / GridinSoft : dossiers verificator.cc et genesis-hub.cc.
• Shodan : 192.162.199.184, 145.63.134.94.
• Unit42 (Palo Alto Networks) : OpenClaw AI supply chain risk (contexte supply chain IA).
• BleepingComputer / Microsoft (31/08/2026) : variante ClickFix PowerShell - modèle de livraison irm/iex.
• MITRE ATT&CK : T1059.001, T1027, T1218.003, T1562.001, T1055, T1555.003, T1005, T1071.001, T1571, T1140, T1622, T1046.

The findings suggest a large-scale but relatively unsophisticated ecosystem of fraudulent remote IT work, generating significant revenue for North Korean networks. While less advanced than known operations like AppleJeus or TraderTraitor, this cluster highlights the breadth of DPRK cyber-enabled financial activity.

1/ Recently an unnamed source shared data exfiltrated from an internal North Korean payment server containing 390 accounts, chat logs, crypto transactions. I spent long hours going through all of it, none of which has ever been publicly released. It revealed an intricate... - @ZachXBT, April 8, 2026

Using the technical elements from Zach's findings, we were able to retrieve infostealer data associated with two DPRK workers from our STEALINT platform. Here is their story.

Key points

• The operation reflects a large-scale but relatively low-sophistication ecosystem of fraudulent remote IT work.
• Infostealers are not just threats - they are powerful cyberdefence tools for investigations. Infostealer telemetry can turn adversary compromise into actionable intelligence.
• DPRK IT worker operations rely on: VPN obfuscation with Astriil VPN, fake identities and portfolios, freelance and remote job platforms, and extended use of AI copilot tools during job interviews.
• They seem to be focused on the Middle-East region (Dubai and Saudi Arabia).
• Operators demonstrate moderate technical skills but strong operational scaling.
• Activities span beyond work: crypto, gambling and side-platform usage suggest diversified revenue channels or personal use.

Hero #1: Meet SuperDev

SuperDev was infected by an infostealer on March 15th 2026. He uses a Windows 11 OS installed in December 2025 with Korean-English language. His external IP was geolocated in the US, and associated with AstriilVPN, as mentioned by Zach.

Profiling the computer specs

From the list of the processes running on SuperDev's computer, we can assume he is running some kind of full-stack webdev work (code.exe, sublime_text.exe, node.exe, multiple postgres.exe). On the networking side, he has running instances of AstriilVPN - consistent with the observed external IP - and DeskIn, a remote desktop tool he probably used for remote work. SuperDev also uses Telegram, Slack, LibreOffice and Lightshot.

The list of installed software confirms what we saw from the running processes: tools like VisualStudio, Git, Postman and Android Studio, probably used for webdev. However, this list also reveals a data science and AI stack (Python, Anaconda) and an Exodus crypto wallet, QQPlayer and IP Messenger.

The diversity of tools shows that he is probably a flexible freelancer doing various development jobs. IP Messenger (Japanese), QQPlayer (Chinese) and AstriilVPN are mostly used in Asian countries.

As of yet, we cannot conclude that SuperDev is indeed from North Korea: elements from his computer specs only point to a regular Korean-speaking engineer searching for freelance dev work. But looking at his web accounts is where it gets truly interesting.

Looking at SuperDev's web accounts

Continuing to dig into the stealer data associated with SuperDev, we analyzed the 263 websites he saved credentials for. Two major patterns stand out: multiple URLs and logins showing that SuperDev has been developing several websites for clients, and several websites related to jobseeking platforms, fake personas and AI-based helpers for job interviews.

GitHub account. SuperDev owns the GitHub profile Perfectwork829, still active as of April 2026. Active since March 2023 with 30 repos, it shows several hallmarks of a fake or freelance-for-hire account.

• The most glaring red flag is the presence of three separate portfolio sites with different names - amalPortfolio, oleksiiPorfolio, myportfolio - strongly suggesting the account is used to build fake GitHub credibility for multiple different people.
• The sports betting theme appears four times (sportsBetting, sports-betting-newversion, sports_betting_stepper, and a forked ML repo) - recycled work sold repeatedly, rather than genuine interest.
• The technically noteworthy repos are react-reduced-project (the only one showing awareness of modern tooling with Qwik and DaisyUI) and the Laravel suite, which at least demonstrates some backend breadth.
• The brand-new fullstack_dev_portfolio in Vue, created April 2026, fits the pattern of assembling yet another identity.

Overall, a profile built to look experienced rather than to document real development work.

Web development work. A major pattern is the abundance of local and staging URLs (localhost, 127.0.0.1, private IPs), indicating ongoing development, test environments and possibly multiple projects running in parallel. Figma previews and job/freelance platforms support the idea of a product-building or freelance workflow, combining development, design and client acquisition. For payments, SuperDev seems to mostly rely on PayPal and Stripe.

Jobseeking platforms and copilots. SuperDev has accounts on xing.com, SNAPHUNT (fldata.snaphunt.com), jobscan.com, myworkdayjobs.com, empleo.coremain.com, jobs.x-team.com, cybercoders.com and totaljobs.com. He also used several AI-powered copilot tools to boost his interviews: jobright.ai and ntro.io.

Other interesting findings. SuperDev also used virtual phone SMS providers such as SMSPool, and showed scattered activity on gambling, gaming and financial platforms:

• Gambling: bcgame.li, bcvn2.com, slotstemple.com
• Gaming: Roblox, Seafight, Xbox
• Trading / crypto / FOREX: xmtrading.com, xmglobal.com, mexc.com, okx.com, bitrue.com, mql5.com

SuperDev's multiple identities

New DPRK front found! Fake front company verityai[.]co. Fake accounts linked and boosted. 75% chance of being fake as well. - @Fox_threatintel, April 9, 2026

We can confirm that these allegations are correct and linked to our SuperDev guy. We can also add that SuperDev has worked on the following websites, according to stealer data: www.box12ksa.com and 3daysksa.com.

The first website is related to a likely fake gym; the second one seems to impersonate a real gym brand - both in Saudi Arabia. The fake X accounts associated with these websites are boosted by fake followers. Continuing our research, we found that both websites were advertising an APK associated with a company named Memvera on APKPure:

Memvera happens to be linked to the Shijazi88 persona mentioned in @Fox_threatintel's post: on the website shijazi.me, a person named Safwan Hijazi claims to be "CTO & Co-Founder @ ProMatrix / memvera". He seems to own the X account @shijazi88, which has the same handle as the GitHub account github.com/shijazi88.

This leads to three possibilities:

• Shijazi is a fake persona created by DPRK worker SuperDev to make money (highly likely)
• Shijazi and the Memvera company are impersonated by SuperDev (likely)
• Shijazi and Memvera hired SuperDev to develop their websites and APK (unlikely)

Hero #2: Meet DevWisdom

DevWisdom was infected with the Vidar stealer in late December 2025. His setup is quite similar to SuperDev's, with an external IP address located in Japan and associated with Astriil VPN ranges.

Computer specs

DevWisdom's running processes and installed software indicate a technically experienced user who primarily works with development tools and local environments. The presence of Node.js, Python and Git suggests regular involvement in programming - likely including backend development, scripting or automation. The use of both PostgreSQL and MongoDB indicates familiarity with different database systems and data models. The system also includes VMware Workstation, which points to the use of virtual machines for testing backend solutions.

Networking and remote access tools are also present. The user has Astriil VPN running - just like our SuperDev guy - showing that DPRK workers seem to consistently use this VPN, very popular in Asia. Additionally, AnyDesk indicates the user may access or manage systems remotely.

Overall, the environment is consistent with someone interested in web development, front and backend - very similar to SuperDev's profile.

DevWisdom's web accounts

Using stealer data, we found the personal fake portfolio of our suspect, where he claims to be a full-stack developer from Malaysia. On the website, we found a link to his GitHub handle: DevWisdom08.

GitHub account. DevWisdom08 is a recently created GitHub account (November 2025–February 2026) with 13 repositories spanning six languages - unusually broad for such a short timeframe, which raises questions about authenticity.

• The most structurally interesting work is the ISP SaaS suite - three separate repos (isp-saas-platform in Go, isp-saas-frontend in Vue, and isp-agent in Go) that together suggest a full-stack product, with isp-agent being the only repo to have earned a star.
• Football-Arena (Dart/Flutter) and rapresentante-commercianti (a Flutter loyalty-system MVP for local Italian merchants) stand out as the most concrete, domain-specific projects with actual descriptions.
• The AI-character-platform (TypeScript) and movesbook-nextjs are the most recent additions and follow current market trends closely.

Overall, the profile reads less like an organic developer journey and more like a portfolio assembled quickly to appear credible - the lack of READMEs, descriptions and community engagement across most repos reinforces that impression.

Main pattern: job searching (tech-focused). A large portion of DevWisdom's account history is clearly related to job platforms and applications: Shopify signup, Workday-based career pages (multiple companies), Randstad applications, Wellfound, Remote.co, Hubstaff Talent. This suggests that our hero #2 was actively searching for remote or international roles, as a front- and back-end developer, but also as a cloud admin and web3 developer.

Portfolio / project activity. We also noticed several accounts on portfolio and CV platforms using several different names: Netlify/Vercel links, a Figma site, portfolio-style domains. This indicates that DevWisdom was trying to improve his visibility by creating fake experienced-developer personas to better apply for jobs and build credibility.

Final words

That will be it for their story. On to the next one...

• Discover the product on stealint.com
• Check the exposure of your domain on the STEALINT platform

Article originally published on the NoxHunt blog - read ZachXBT's full investigation on investigation.io/dprk-itw-breach.

We started monitoring this alias on January 12th, when many Instagram users received password-reset emails and, at the same time, an alleged database containing 17 million Instagram user records was posted on a popular cybercrime forum by the user "Solonik" (read the Malwarebytes analysis).

While the alleged database was quickly labelled as an old compilation of Instagram breaches with no freshly dumped data, it brought attention to the Solonik threat actor, who kept actively publishing other databases with alluring names. While doing so, Solonik advertised his Telegram channel, which reached almost 7k followers at its peak.

Note: while we were researching Solonik's activities, StealthMole's experts were quicker than us and published an article explaining their research on the same topic on January 26th. Their article concludes that Solonik used several nicknames such as Chucky and Chucky_lucky, and seems to have ties with Iranian and Persian-speaking Telegram channels.

We initially planned on writing a long article, but considering the heavy work had already been done, we decided to go straight to the point on how we also found Solonik's old aliases, and give new insights found using our investigation capabilities.

Solonik's personas and activities

On his Telegram channel, Solonik posted a screenshot of a message he sent to a BreachForums administrator, about an old alias of his he lost access to and wants to reclaim: Chucky_lucky.

So we have the Solonik = Chucky_lucky link.

In the screenshot, we can also see that he makes a reference to the hack of rizee.in as an "old activity" he now wants to hide. This is interesting: the first thread mentioning this hack was posted on DarkForums on August 20th, 2025, by someone named Chucky_BF. This alias can also be found on BreachForums. We can therefore assume that Chucky_lucky and Chucky_BF are the same person. This is confirmed: in threads posted by Chucky_lucky on BreachForums, archived by our platform, he advertises the Telegram handle t.me/chucky_bf.

We can now link Solonik to Chucky_lucky and Chucky_BF. The old Chucky_BF alias leads to a lot of activity on cybercriminal forums:

Note that his profile picture, shown in the screenshot above, is the same as the one he used on his Chucky_lucky handle:

A few more searches later, we found the following thread mentioning another Telegram handle, chucky_leakbasela:

When Chucky got unlucky

Using passive searches, archived forum data and Telegram handle extraction, we were able to retrieve the Chucky* handles used by Solonik. But there is more.

On April 18th, 2025, someone on an Indonesian computer downloaded and executed what appeared to be an infected layededge-bot executable embedding an infostealer. NoxHunt experts were able to retrieve the stolen credentials exfiltrated from this machine. The following account information was saved in the victim's browser:

https://breachforums.vc/member.php : chucky_lucky : ****
https://breachforums.is/member     : chucky_lucky : ****
https://breachforums.st/member     : chucky_lucky : ****

...as well as other accounts on hacking websites with the following logins:

Chucky
andinov
andinov666
icebreaker666
cobaylis
cocacola

Did all of these accounts belong to Solonik over time? Not sure: the passwords associated with these last six accounts are significantly weaker than the ones used for the chucky_lucky accounts, which could either mean:

• that these are very old nicknames used by Solonik a long time ago;
• or that the infected computer is not Solonik's, but one he used occasionally - for example belonging to a member of his family, to a friend, or to an Internet café he went to.

Stolen credentials from stealer data do not come with a date for each entry: they only tell you that the URL:login:password entries belong to the same computer. From there, since the infected computer can be shared, one has to be careful before drawing any conclusion.

Looking at the stolen credentials and the system information, we noticed entries for several accounts on Indonesian official websites, and the system language was Indonesian. Moreover, the location of the external IP address of the computer network also happens to resolve to Indonesia: we can conclude that Solonik is probably from Indonesia.

To corroborate some of StealthMole's findings, we did find in the stealer data one account on an Iranian cracking website, which could explain why Solonik has indeed shown some presence on the Iranian hacking scene.

Appendix: Solonik associated threads

DATABASE VIETISO.COM - 209K VIETNAMESE TRAVEL CLIENTS + FULL KYC DATA (2026)
DATABASE HORUSDM.COM.BR - MUNICIPAL TAX SYSTEM DATABASES (BRAZIL, 2M+ RECORDS) 14.01.2026
DATABASE [2026] RMONEYINDIA.COM - INDIAN FINTECH BREACH - 1.5GB SQL
COLLECTION PAKISTAN - PTML CELL TOWER GEOLOCATIONS (5M) | KARACHI BTS GRID
COLLECTION EPSTEIN FILES 2024 - FLIGHT LOGS, BLACK BOOK, US COURT DOCS 2026
DATABASE KNOWMYCUSTOMER.IN - 3.4M CORPORATE LEADS - TATA TELE B2B INDIA
DATABASE TEXTITUTE.COM - SMS & CONTACT PLATFORM + CLIENT DB 13.01.2026
DATABASE COSTCO.COM.TW - 526K TAIWAN CUSTOMERS DATABASE (PII + CREDENTIALS)
DATABASE UNSOED.AC.ID - 42K INDONESIAN UNIVERSITY STUDENT RECORDS + EMAIL, PHONE, ID
DATABASE KAZAKHSTAN - NATIONAL CITIZENS DATABASE (INN, DOB, FULL NAMES)
DATABASE US MILITARY AIRPORTS - FULL COORDINATES & FAA DATA (STRATEGIC SITES)
DATABASE SYSTAGG.COM.BR - 100K FULL BRAZILIAN CANDIDATE PROFILES + CPF + EMPLOY
DATABASE IHEC.IQ - 4.5M IRAQI VOTER RECORDS (FULL ELECTORAL DATA)
DATABASE 321K SEEDS PHARSE ETHERNUM 2026
DATABASE FGTS.GOV.BR - 1.5M BRAZILIAN PENSION RECORDS (FULL CPF + SALARY HISTORY)
DATABASE EPU.EDU.IQ - ERBIL POLYTECHNIC STUDENT & TEACHER RECORDS + FILES
DATABASE IRGC.GOV.IR - 240K IRANIAN REVOLUTIONARY GUARDS (FULL IDENTITY + CONTACT)
DATABASE WA.IRAN - 1.2M WHATSAPP USERS (MOBILE NUMBERS ONLY, 2024)
DATABASE MODHOSPITAL.KR - 45K KOREAN HOSPITAL PATIENT & SYSTEM RECORDS 14.01.2026
DATABASE FUSE.CO.ID - 199K INSURANCE RECORDS + FULL POLICY + KTP/EMAIL/PHONE 2026
DATABASE IRANCELL - NATIONAL TELCO DUMP | 60M CUSTOMERS | .MDB FORMAT
DATABASE IWINV.KR - 144K KOREAN VPS HOSTING USERS + LOGIN (FULL SQL DUMP)
DATABASE ACUITY.COM - 9M ILLINOIS INSURANCE CUSTOMERS
DATABASE FCBB.COM - USA BROKERAGE DATABASE + NDA + LOI + LISTING DOCS (FULL)
DATABASE SNT-RF.RU - 9.9K RUSSIAN NON-COMMERCIAL GARDENING ENTITIES (FULL CORP DUMP)
DATABASE BODOGLIFE.COM - 24.9K US GAMBLING USERS (FULL DATABASE, 2026)
DATABASE LPSE.DEPHUB.GO.ID - 735K+ INDONESIAN GOVT TENDERS & WINNING CONTRACTORS
DATABASE RIZEE.IN - 100K STUDENTS + 14.8M QUESTIONS | Breached 10.01.2026
DATABASE OSSESANJUAN.COM.AR - 98K GOV (ARGENTINA, 2026 DUMP)
DATABASE BTCONNECT.COM - 49.9K UK CRYPTO CLIENT RECORDS (2025 DATABASE LEAK)
DATABASE CHAINLINK.ORG - 6K WEB3 INVESTORS W/ EMAIL + ETH WALLETS + AMOUNTS
DATABASE DUBAI CRYPTO - 104 UAE HNW INVESTORS (FULL EMAIL LIST, 2025)
DATABASE LUMINPDF.COM - 15.4M USERS EXPOSED (EMAIL, HASHES, TOKENS, GENDER, LANG)
DATABASE IRAN TELCO DATASET - FULL PII DUMP (ICCID, ID, ADDR, GSM)
DATABASE KPS.KU.AC.TH - THAI UNIVERSITY SERVER SQL DUMP (AGRICULTURE + ECOM) 8 JAN 2026
DATABASE CHINA CITIZEN DATABASE - 1.2B RECORDS WITH NAMES, IDS, GPS, MOBILE
[SALE] mail.gdt.gov.vn OWA Access – Vietnam Tax Authority Employee Mailbox

Appendix: Chucky_lucky latest threads

cte.seebc.gob.mx 2023 Baja EDU Breach - Teachers' Phones, Emails, Student Reg
Pacifika.com.pe Breach - Full LATAM ERP Dump
https://mr.gov.il - 2025 GOV Tender Dump - Israel Procurement DB: Agencies, Contracts
chandigarh.gov.in - Full Job Seeker DB: Emails, Phones, Salary

Final words

Solonik is an enigmatic actor that was, at some point in time, one of the most prolific posters on Breach and DarkForums. Though, most of that was smoke and mirrors: threads with alluring titles but old, recompiled data, attempts at selling publicly available content... After a few weeks in the spotlight, almost all Solonik activities have now been wiped: forum threads got deleted, profiles got banned, as well as his Telegram channels.

What can be learned from this quick investigation?

• Archiving cybercriminal platforms' content is key to keep track of actors.
• Tracking messaging handles helps make historical links: threat actors change public aliases often, but more rarely their contact handles.
• Cybercriminals install a lot of cracked software and are not immune to stealers! Stealer data gathering can give you exclusive insights.

Article originally published on the NoxHunt blog, February 11th 2026.