NozZyTraque Au Scammer
AMSI CTF - Traque Au Scammer
Category
OSINT
Description
Un escroc donne du fil à retordre à la C3N, notamment car ils n’ont plus de budget pour engager un expert OSINT. Heureusement que vous êtes là avec un peu de temps libre ce week-end ;) Une victime auditionnée leur a fourni l’image que l’escroc envoi après avoir chaque escroquerie. Ses méfaits se concentrent principalement sur du phising puis du vol de crypto-monnaie. Le C3N compte sur vous pour retrouver son adresse et son prénom.
Format du flag : AMSI{adresse_prenom}
Exemple : AMSI{Montpellier-12-rue-Claret_Roger}
Files
Difficulty
MEDIUM - 500 points
- Author: Flavio - flav-sns
Write up
Little punk
On commence avec une photo assez générique d’un meme, le contenu ne nous aidera pas à identifier le scammer.
En revanche, ce petit malin à signer son image de son nom :
Petit coup de recherche d’username avec whatsmyname, et on trouve que ce malin possède un compte github :
Le scammer de crypto
On peut alors se balader sur ses repos, et ses commits. Evidemment que l’on trouve quelque chose d’intéressant dans ce commit :
On possède alors sa “drain address”, qui est une adresse crypto utilisée pour voler les gens : 0xd9A1C3788D81257612E2581A6ea0aDa244853a91
Le site que je recommande, et qui m’a été utile est etherscan, on trouve sur la page de son adresse certaines infos :
On a donc bien un rappel qu’il s’agit de scam, alors on peut rechercher des Database de report d’adresse crypto.
On n’y trouve aucun report (avant la fin du CTF, il y en a eu depuis par les joueurs).
La solution se cache dans le fai que notre adresse est liée à une autre, qui l’a fourni en argent :
On recherche alors cette adresse 0xDCddc9287e59B5DF08d17148a078bD181313EAcC sur CoinAbuse
Sa petite vie sur internet
On a donc la source de la personne qui a report : https://x.com/LDfmf4883
Le compte Twitter est assez vide : pas de post, pas d’archive, pas de liste, rien. Seulement des abonnements.
Regardez qui voilà :
Le retour de notre ami le scammer, et il se plaint sur son compte twitter d’avoir perdu son adresse crypto entre autres.
Par contre, on retrouve un petit commentaire sympa sur un de ses posts :
Cette personne s’appelle alors Philipe, et possédait un petit compte perso, qui est évidemment supprimé désormais :
En revanche, une archive existe, mais pas sur archive.org, uniquement sur archive.ph (archive today) :
On a donc une image, prise à priori devant chez lui, avec des infos importantes :
- Boutique “Mag’ Occaz”
- Une fileuse de verre
- Une cordonnerie, à l’adresse où habite le scammer
Alors ensuite, pour trouver le lieu, je ne vous raconte pas par quoi je suis passé.
…
Bon ok je vous dis :
- pappers.fr → trouvé aucune boutique
- pages facebook → pareil
- reverse image (google, bing, yandex) → pas trouvé perso (askip on pouvait)
- overpass turbo → aucun résultat probant
- mots clé sur Google et Google Maps → boff boff
Comment j’ai trouvé ?
Lien de l’article : https://www.lamontagne.fr/saint-flour-15100/actualites/le-nouveau-reseau-electrique-de-la-rue-marchande-inaugure_11425042/
On apprend que ça se passe dans la ville de Saint-Flour !
On peut alors chercher la fileuse de verre, le Mag’ Occaz, ou direct la cordonnerie, mais on finira bien par la trouver :
Nous voici chez le cordonnier, au 34 rue Marchande, à Saint-Flour
AMSI{Saint-Flour-34-rue-Marchande_Philippe}