Éléments déjà découverts
Parce que ce CTF est très long, je me permets de partager, à la fin de chaque page dédiée, un extrait du graphique généré via CaseBandit, qui permet de visualiser l’ensemble des éléments et de garder une vue d’ensemble des liens entre personnes, lieux et indices.
Voici le graphique issu de la dernière partie : Chapitre 2 - Acte 3 - Communication
Nous allons pouvoir nous appuyer dessus pour poursuivre nos recherches dans la suite du CTF.
La Toile du Tisserin
Énoncé
📳 Bling 📳
En effet, il est probable que le groupe possède un stockage en ligne qu’il utilise afin de conserver ses documents les plus importants. Et vu leur organisation, vous êtes persuadé qu’ils auront un mot de passe pour accéder à celui-ci.
Quel est le mot de passe pour accéder à cet espace ?
_Format :
MotDePasseDur
RETEX
Pour rappel, on avait trouvé dans la dernière partie un groupe public nommé « lameuterouge » sur Keybase, et sur ce groupe, on avait trouvé plein d’informations sur leurs membres via les documents disponibles dans les dossiers partagés publics de Lycaon, la cheffe du groupe.
De plus, dans les dossiers partagés publics d’un certain Maximus, on avait trouvé un txt qui donnait le lien d’un drive Proton.
Mais malheureusement, ce drive est protégé par un mot de passe, il faut donc continuer nos recherches.
On ne trouve qu’une seule mention du drive dans les conversations enregistrées sur Keybase : lorsque Virgata et Uncia demandent à Maximus le mot de passe du drive, il répond qu’il va imprimer quelque chose pour les aider…
Ça ne nous donne pas beaucoup d’indices non plus, donc on va devoir changer de méthode.
Après avoir cherché partout sur Keybase et tenté de pivoter sur le nom d’utilisateur Maximus en vain, on change une dernière fois de méthode : on va analyser le .onion pour voir si on n’a pas loupé un pivot quelque part.
Dans la page « Contact », on a la possibilité de remplir un formulaire de satisfaction.
C’est un Framaform classique.
On a même la possibilité de contacter l’auteur du formulaire via le bouton en bas à droite.
Et l’adresse de contact est tuskontheroad@tacosint.fr
Un outil comme Epieos nous permet de rattacher ce mail à un compte Google.
On obtient donc le calendrier Google de Maximus et ses avis sur google maps.
On obtient donc quelques infos sympas, mais rien qui nous permette d’aller plus loin que ce que l’on a déjà. Cela nous sert quand même à valider que le compte Google appartient bien à Maximus, puisque l’identité du compte est référencée comme Jean Charpentier, comme sur la fiche RH.
Par contre, on n’a pas encore pivoté sur ce qui compose l’adresse mail, à savoir tuskontheroad.
Un outil comme WhatsMyName nous permet de trouver un avis Google déjà repéré via Epieos, ainsi qu’un post reddit d’un compte nommé tuskontheroad.
Le post porte sur un logiciel 3D à utiliser avec une imprimante 3D. Cela nous rappelle qu’il avait dit qu’il allait « imprimer quelque chose » : on est donc peut-être sur la bonne piste.
Sur son compte, il poste deux fois au sujet de ses créations de modèles 3D, et il dit même publier sur Thingiverse.
Sur l’une des captures d’écran qu’il partage, on peut même trouver la licence qu’il utilise pour partager ses créations : CC BY-NC, ainsi que le tag lié au fichier : Low Poly Animal, et le nom du fichier : perroquet.stl. Cela nous permet donc de lancer une recherche filtrée sur Thingiverse.
Cela nous permet de trouver le fichier qu’il a partagé, ainsi que son compte sur la plateforme, sous le pseudo MaximusJC3D.
Sur son compte, un fichier a été partagé le 2 mai 2026, donc le jour où il a dit qu’il allait imprimer quelque chose. En utilisant la fonction 3D, on peut visualiser le modèle d’éléphant qui compose le fichier.
Et sous ce modèle, on peut trouver la chaîne de caractères MeuteRouge4EVER.
Cela a fortement l’air d’être un mot de passe, et en le testant sur le drive, on peut y entrer : c’est donc le bon mot de passe.
La traque du faucon
Énoncé
Bon, ce groupe est vraiment bine organisé, et semble même mener des campagnes à l’étranger. Les informations que vous avez pu obtenir jusqu’à présent semblent indiquer qu’ils ont mené la traque d’un animal bien spécifique en janvier 2025.
Quel est le prénom de l’animal traqué par le groupe en janvier 2025 ?
_Format :
Baloo
RETEX
Le drive renferme deux fichiers GPX nommés « Traque_Famille_Culpeo_1 » et « Traque_Famille_Culpeo_2 ».
Ces fichiers renferment des tracés GPS datant du 26 et du 27 janvier 2025, ce qui correspond parfaitement à l’énoncé puisque les culpeos sont une famille d’animaux provenant d’Amérique du Sud, donc de l’étranger.
En important les GPX dans CaseBandit, on peut visualiser les deux tracés et se rendre compte qu’ils appartiennent bien à la zone d’habitat de cette famille d’animaux.
Puis nous avons bloqué longtemps sur ce challenge, vraiment longtemps.
On a essayé plein de méthodes pour trouver le prénom de l’animal traqué :
- Rechercher sur les sites liés aux lieux proches des tracés (par exemple : réserve naturelle, parc, etc.).
- Rechercher dans les commentaires des lieux Google un message du type : « On a volé mon… ».
- Rechercher sur Street View s’il n’y avait pas de pancarte du type : « X a disparu, appelez-moi au XXX si vous avez des infos… ».
- Rechercher par mots-clés sur Google à propos d’un culpeo kidnappé dans la région, et pareil sur les réseaux sociaux.
Mais rien, on ne trouvait strictement rien.
Puis Global a eu une idée de génie : chercher sur une application de tracking d’animaux, “Animal Tracker”.
Et à l’emplacement des traces GPX, on peut trouver un animal nommé Takiri, qui a désormais disparu mais qui avait été localisé à cet endroit à la même date que les GPX.
On vient donc de trouver l’animal qui a été kidnappé par la Meute Rouge, et, par la même occasion, son prénom.
La colère du dragon
Énoncé
Voilà donc comment ils procèdent pour obtenir de nouveaux animaux plus exotiques que Malo…
Vous sentez que ce sujet lui tient vraiment à coeur. Même si vous n’êtes pas autant remonté que lui, cette pratique révoltante doit être stoppée au plus vite !
Vous décidez donc que vous mènerez à bien votre enquête, pour sauver ces animaux innocents.Pour valider le challenge, écrivez le message suivant :
Je vais les stopper
RETEX
Le challenge n’en est pas vraiment un : il sert surtout à faire avancer l’histoire et à démontrer l’implication de Péhuson dans cette affaire, et à quel point ça le frustre.
Le radar de la chauve-souris
Énoncé
Ce drive est une vraie mine d’informations ! En regardant de plus près, vous pensez pouvoir trouver des informations sur les membres et leurs clients.
Vous informez votre acolyte de votre trouvaille, et vous vous lancez dans l’exploration du contenu de celle-ci.
Où la rencontre avec un client le 15/06/2025 a-t-elle eu lieu ?
_Format :
Guadeloupe
RETEX
Sur le drive découvert précédemment, il y avait un fichier nommé : appel_Uncia_15-06-2025.wav.
Ce doit être l’asset principal pour ce challenge.
Ce fichier est un message vocal d’Uncia à destination de Lycaon. Voici le texte que j’arrive à retranscrire :
Salut Sylvie ! Pardon Lycaon !
Je viens de rencontrer le nouveau prospect, il a l'air bien intéressé par ce qu'on peut lui proposer.
Financièrement, je ne m'inquiète pas, vu sa villa, on ne devrait avoir aucun problème pour être payés. Je vais quand même en profiter pour faire un petit check pour vérifier qu'il ne nous a pas embobinés.
Au fait, je vais essayer de vous ramener une petite bière artisanale, je sais que ça vous fera plaisir !
Je pense être de retour d'ici 2 ou 3 jours, le temps de faire les dernières vérifs et de rentrer.
Je vous tiens au courant si j'ai quoi que ce soit d'intéressant d'ici là.
Bonne fin de journée cheffe, à plus tard.
[BIP-BIP-BIP]
Le message précise bien qu’Uncia revient d’un rendez-vous avec un client et qu’elle ramène des bières artisanales, mais on ne peut rien tirer de plus du contenu, à part qu’on connaît maintenant le prénom de Lycaon : Sylvie.
Par contre, en bruit de fond, on peut entendre un chant d’oiseau.
En utilisant un outil comme birdnet, on peut essayer de reconnaître le chant de l’oiseau.
L’outil reconnaît l’oiseau « Corsican Nuthatch », aussi appelé « Sitta whiteheadi », la sittelle corse.
On peut vérifier cela en cherchant le chant de cet oiseau sur oiseaux.net
On y retrouve exactement le même chant, enregistré par Fernand Deroussen.
On est donc sûr de l’espèce de l’oiseau et, d’après oiseaux.net, cette espèce vit exclusivement en Corse.
Uncia se trouvait donc forcément en Corse le 15/06/2025.
L’énergie du frelon oriental
Énoncé
Vous commencez enfin à voir plus clair dans l’organisation du groupe. Après un court échange avec votre acolyte, vous orientez vos recherches sur la personne qui semble chapeauter toute cette organisation.
Vous avez déjà pu glaner quelques informations sur celle-ci, mais pour transmettre le cas à votre contact de la police, comme cela a été le cas pour le pet-sitter, il vous manque encore l’information la plus important :Où réside la personne qui est considérée comme chef de l’organisation ?
_Format :
XX.XXXXXXX, XX.XXXXXXX
RETEX
En relisant attentivement les canaux sur Keybase, on peut trouver une conversation dans le canal « Membres uniquement » sur la dégustation de bière artisanale.
Lycaon y partage la photo ci-dessous en précisant qu’elle déguste la bière depuis son appartement.
Donc, si l’on arrive à localiser le point de vue de cette photo, alors on trouve son appartement.
En utilisant Google Lens sur la cathédrale visible sur la photo, on peut reconnaître la cathédrale Sainte-Croix d’Orléans.
En prenant en compte le placement des deux tours de la cathédrale et de la flèche, on peut déjà avoir une idée de l’endroit où la photo a été prise (on regarde vers le nord-est lorsque la cathédrale est devant nous).
En regardant de plus près la photo, on peut voir un bout de toit rond. Ce sera notre point de repère (un toit rond au sud-ouest de la cathédrale).
On peut ensuite s’approcher via la vue sur Google Earth en utilisant certains éléments clés de la photo.
Enfin, on peut s’assurer de l’emplacement exact via l’angle de la photo et les repères visibles en vue satellite.
Lycaon habite donc aux coordonnées : 47.9000918, 1.9089714
Synthèse de nos éléments
Parce que ce CTF est très long, je me permets de partager, à la fin de chaque page dédiée, un extrait du graphique généré via CaseBandit, qui permet de visualiser l’ensemble des éléments et de garder une vue d’ensemble des liens entre personnes, lieux et indices.
