French darkmarket hacked

##### FRENCH #####

Les preuves s’accumulent sur ce qui semble être une infiltration de plusieurs boutiques du darknet francophone. Le « fouineur » a contacté la rédaction de zataz.com avec des tonnes de preuves. Explications ! [ZATAZ a modifié les identités et les adresses pour préserver l’anonymat des sites et personnes incriminées]

Le black market francophone infiltré. Un pirate annonce posséder toutes les infos privées et sensibles !

Nous vous relations, le 17 septembre 2015, un étrange message diffusé dans le dark net, à destination de plusieurs boutiques du black market. Un internaute, qui devait très certainement faire du business dans le milieu, a réussi à infiltrer plusieurs importants commerçants de drogues et autres produits illicites cachés via le système d’anonymisation TOR. A l’époque, les preuves étaient minces. Le pirate expliquait avoir accès aux messages internes et privés des membres des boutiques FDW, FDP, FDW-Market et Zangdar, ainsi que les bases de données de FH Wiki et de l’ensemble des boutiques : chris_carter; walterwhite; raol; youryorlov75; texas. Comme l’indiquait un lecteur sur Twitter « Si cela s’avère vrai, c’est le Ashley Madison version Tor francophone !« . Il ne pensait pas si bien dire à la lecture des preuves que nous avons reçu.


Les preuves
L’inconnu est entré de nouveau en contact avec la rédaction de Zataz.com et nous a fourni des dizaines de preuves sous forme de textes, extraits de BDD, captures écrans. Une cartographie complète des différentes boutiques incriminées, les pseudos des administrateurs, et le fait qu’ils sont tous liés entre eux, par les mêmes personnes. A noter une des boutiques, que nous ne citerons pas, qui semble être un véritable nid de pédophiles. Un forum sans modération aux contenus plus qu’inquiétants. « Je dispose de la base de données ENTIERE (dump) du FDW, de tous les shops des clients, du FDW-Market et de FDP » souligne le corbeau. Dans ces bases, il y’a quoi ? « TOUTES les informations utilisateurs : user/pass/email/questions secrète/clé PGP des centaines de milliers de messages privées (…) Des discussions très privées concernant l’attaque de sites internet, la gestion des forums. Des discussions sur les transactions, avec donc les adresses de livraisons, des numéros de suivi, les prix, les adresses bitcoins et les code PCS« .

Le pirate aurait en sa possession toutes les transactions financiéres.
Une infiltration que l’internaute aurait réussie en plaçant un script de récupération de mot de passe, de manière à obtenir la quasi-totalité des mots de passes en clair de chaque utilisateur. Des preuves ? Nous avons reçu des messages internes, liées à des transactions. Des noms, des adresses postales, … « salut l’adresse 1 rue xxx appt x 61100 flers (…) la commande etait de 50g de spid 5g de md et 40 xtc » est-il possible de lire dans l’un des messages. « Comme prévu le courier est parti ce matin donc tu devrais le recevoir à ton drop samedi ou au plus tard lundi Bxxxx Lxxxx nxx rue d’xxxxx 62000 arras » dans un autre. Le « visiteur » nous explique qu’il a réussi à pirater des espaces comme la MNoire via une injection SQL. « J’ai pu récupérer des informations de suivies de colis, les informations de transactions etc… ! Et le tout en clair ! »

Les pseudos, les mots de passe, les messages internes ont été copiés.
Motivations ?
Les motivations de cet internaute sont claires, il nous a indiqué vouloir proposer officiellement son aide à la justice. « Avec toutes les informations dont je dispose, ils pourraient réaliser le coup de filet !« . Le pirate parle des administrateurs, des vendeurs, de leurs acheteurs « de la drogue, des armes, des faux papiers, des milliers de cartes bancaires, des pédophiles …. C’est énorme ! » Pour cet internaute, les administrateurs et utilisateurs de ces boutiques se sentiraient en sécurité en utilisant TOR « mais ce ne sont des amateurs qui ne maîtrisent pas la technologie (…) Ils se sentent supérieur en discutant de la liberté d’expression, des complots, alors que tout est pour l’argent. Je les traquerai sans relâche. »

L'accès aux espaces des administrateurs, et les messages privés des "commerçants".
Pour parfaire ses preuves, il a communiqué à la rédaction de ZATAZ plusieurs codes de transactions par cartes bancaires (sic!). « Mon petit doigt me dit que les autorités pourraient facilement remonter aux administrateurs » termine-t-il. Il nous a indiqué avoir contacté les autorités.

########################################################

##### ENGLISH #####

There is now some proofs about the massive hack of several shop on the french darknet. The hacker contacted zataz.com with tons of proofs. Here are the explanations ! [zataz.com has changed identities and addresses to protect anonymity of peoples and websites]

The french black market has been hacked. An hacker claims he have access to all private and sensitives informations !

We told you about, on september 17, that a mysterious message has been diffused on the dark net, to several shops on the black market. An dark web user, who was probably doing business on the black market, gained access to multiples famous shops selling drugs and others illegal stuff hided in TOR. At that time there was no real proof. The hacker explained he has access to all internal and privates messages of members of the following shops : FDW, FDP, FDW-Market and Zangdar. Also he has databases of FH Wiki and all the shops : chris_carter; walterwhite; raol; youryorlov75; texas. As seen on twitter "If it's true, this is just like Ashley Madison for french darknet". After seeing the proofs we agreed.

The proofs
The unknown hacker contacted again peoples at zataz.com  and give us tens and tens of proofs in the form of text files, databases extracts and screenshots. A complete mapping of all the incriminated shops, admins's usernames and the proof that there are all connected between them by the same peoples. We also found a shop, that we shall not quote, who is a cesspool of child pornography. A forum without any moderation with very disturbing content. "I have a FULL database (dump) of FDW, all his customers's shops, FDW-Market and FDP" said the hacker. What information are in the databases ? "EVERYTHING about users : usernames, passwords, emails, secret question, tons of PGP keys for privates messages, ... Really privates discussions about attacking others sites, forum's management. Discussions about deals, with their delivrery addresses, tracking numbers, prices, bitcoin addresses and PCS codes".

The hacker had access to all financial transactions.
The infiltration was a success because the hacker had put a script to retrieve passwords, so he now has all the passwords of all users unhashed. You want proofs ? We received internals messages related to transactions with names, physical addresses, ... " hi here is the addresse l’adresse 1 rue xxx appt x 61100 flers (…) the order was 50g of spid 5g of md and 40 xtc" we can read in one message. "As planed the package has been sent this morning you should receive it saturday or at least monday at XXX XXX XXX 62000 arras" in an other message. The hacker explain he got access to privates parts of MNoire using SQL injection. "I've downloaded information about post tracking, transactions, etc. ! And everything was uncensored"

Usernames, passwords, internals messages has been copied.
Motivations ?
The hacker's motivation are clear, he told us he want to offer his help to the justice and the authorities. "With all the information I have they could do the best bust of all time !" The hacker speaks about admins, sellers, buyers, drugs, weapons, false papers, tons of credit cards, child pornography, ... "It's something really big !" For the hacker, admins and users of thoses shops feel safe because they use TOR "but they are amateurs who doesn't understand technology. They feel superior and discuss about freedom of speach, plots, but all they want is money. I will hunt them down without pity."

The access to admins's backend and the privates messages of sellers.
To perfect the proofs the hacker give to zataz.com several codes of credit's cards transactions (!). "A little bird told me that the authorities could easily track down the admins." claims the hacker. He also told us he has already contacted the authorities.