Campagnes

Une campagne est un groupe d'éléments que la corrélation a reliés par un même pivot : le même kit servi octet pour octet, le même point d'exfiltration, la même infrastructure. C'est ce qui fait passer d'un lien suspect à une opération — l'attaquant change d'adresse tous les jours, il ne change pas d'outil tous les jours.

Fenêtre : 30 derniers jours · trois membres minimum

Campagnes suivies

Entités regroupées

Campagnes confirmées

Actives ces 7 jours

67 %

Cohésion médiane

Dernière trace, jour par jour

Chaque campagne compte une fois, le jour où l'un de ses membres a été observé pour la dernière fois. Un pic marque une vague qui bouge encore ; les colonnes du fond sont des groupes qui se sont tus.

Toute l'activité tient sur 1 journée — dimanche 16 août. Trop peu de recul pour une courbe : elle apparaîtra dès que 3 jours distincts auront été observés.

Ce qui tient ces campagnes

Le pivot dominant de chaque groupe — celui qui a produit le plus de liens. Un groupe s'appuie presque toujours sur plusieurs pivots à la fois ; c'est le plus fréquent qui le nomme.

Same hosting11Same kit3Same brand or same name2

Same hosting11 camp.: Same address, same name server, same registrant. The weakest pivot, and the most heavily discounted: shared hosting holds thousands of honest sites, so correlation lowers its weight accordingly.
Same kit3 camp.: The pages serve the same favicon, the same document structure or the same certificate — byte for byte. This is the strongest pivot: an attacker renews domain names every day, but does not rewrite the tool.
Same brand or same name2 camp.: The names collapse onto one another once reduced to their skeleton — deceptive characters neutralised — or target the same brand through the same impersonation mechanism.

16 campagnescohésion = part des paires de membres réellement reliées

trier

Comment un groupe se forme

Le regroupement est calculé ici, par notre moteur de corrélation, sur notre propre base. Les listes publiques de menace ne livrent jamais de campagne : elles apportent des éléments — au même titre qu'une analyse lancée depuis la page d'accueil, un rendu de bac à sable ou un signalement — et c'est notre moteur qui décide lesquels tiennent ensemble.

Relier. Chaque analyse produit des pivots — favicon, structure de page, certificat, point d'exfiltration, adresse, squelette du nom. Un pivot est une raison de tirer un trait, et il porte un poids : un même certificat vaut bien davantage qu'un hébergeur commun.
Borner dans le temps. Un trait n'est valable que pendant sa fenêtre. Corréler sur une résolution vieille de six mois relierait des choses qui n'ont jamais coexisté — c'est la première cause de faux rapprochements.
Regrouper. Les traits au-dessus du seuil forment des composantes connexes. Un groupe est retenu s'il compte au moins trois membres répartis sur deux sites distincts : sans cette seconde condition, les pages d'un même site honnête formaient une « campagne » avec leur propre favicon et leur propre certificat.

Ce que cette page ne dit pas

Aucun groupe n'est rattaché ici à un acteur nommé : attribuer une campagne suppose une source de renseignement que cette plateforme n'a pas, et sans elle une attribution serait une invention. Le statut d'un groupe est par ailleurs HÉRITÉ — il suffit qu'un seul membre ait été jugé dangereux pour que le groupe entier porte la mention. Cela désigne un ensemble à examiner, pas une condamnation de chacun de ses membres ; c'est la fiche de chaque entité qui tranche.