Bienvenue dans le WRITE-UP du CTF MEDILEAK.

Organisé par Limoges Métropole et le Centre Ressources Cyber Limoges — Nouvelle Aquitaine, avec le soutien de CNERG’E santé Campus Limoges, ESEA, le CHU de Limoges, ESTER Limoges Technopole et Okantis, ce CTF a été réalisé par YPSI, épaulé par la Manufacture Française d’OSINT et l’équipe OSCAR ZULU.

Les participants auront pu partir dans une enquête débutant comme une recherche sur les abandons de soin, pour rapidement découvrir un trafic de données médicales, mais également des traitements médicaux alternatifs et dangereux, et des personnes n’hésitant pas à mettre en danger des personnes malades pour faire de l’argent !

Vous trouverez ci-dessous le déroulé de l’enquête telle qu’imaginée par les auteurs, mais nul doute que les participants auront trouvé d’autres chemins, parfois plus courts.

Afin d’accompagner votre lecture, nous vous proposons également un fichier OSINTRACKER qui vous permettra de visualiser tous les tenants et aboutissants de notre enquête.

WRITE-UPS des équipes

Avant de commencer le Write-Up officiel, rendons hommage à nos fabuleux joueurs qui ont passé beaucoup de temps à écrire leur propre solution, parfois plus poussés que ce que nous vous montrons aujourd’hui.
Merci donc à :
Hitsu, qui a terminé entièrement seul et qui prends le temps d’écrire un magnifique write-up disponible sur son site.

Zaphod Beeblerox, de l’équipe Les Tontons Flagueurs, avec un PDF rempli d’humour et de références cinématographiques.

Nos grands gagnants les Dodo Pizza, qui nous fournissent la recette gagnante.

La victime

Il était une fois…

Énoncé

Vous avez été alerté par des proches à propos d’une amie, Christine Daguerran, suivie au CHU de Limoges pour une sclérose en plaques. Elle aurait abandonné ses soins et tiendrait des propos étranges depuis quelque temps. Surtout qu’elle aurait fait un malaise grave suite à un stage.

Ses proches s’inquiètent et demandent votre aide pour essayer de la convaincre, car même son malaise n’a pas changé son avis, et elle a quitté l’hôpital contre avis médical.

Vous allez donc mener l’enquête et tenter de révéler au grand jour les comportements nocifs de certaines organisations.

Attention ! Lisez attentivement les règles et n’oubliez pas qu’à la fin, chaque erreur pourra vous coûter la victoire !

Solution

Il s’agit ici du challenge introductif, il suffit de copier la phrase indiquée pour valider ce challenge.

Le travail

Énoncé

Vous allez tout d’abord essayer de dresser le portrait de la victime. Quel est son emploi actuel, et depuis quand l’occupe-t-elle ?

Format de flag : assistante de direction — 2010

Solution

Une recherche Facebook avec le nom et le prénom permet de retrouver un profil avec le même nom.

On constate qu’elle est bien atteinte d’une maladie chronique, qu’elle vit et travaille à Limoges et qu’elle est en colère contre les hôpitaux et les laboratoires.

Le profil indique qu’elle est chargée de mission à Limoges métropole depuis 1996.

Flag : chargée de mission — 1996

La maladie

Énoncé

Elle se plaint de souffrir de ses traitements, sans doute une des raisons de son abandon de soin.

Quelle maladie a — telle l’impression d’avoir après son traitement ?

Format de flag : choléra

Solution

Dans un post du 10 avril, elle se plaint de sa dernière injection qui lui donne l’impression d’avoir une grippe.

Flag : Grippe

Le médicament

Énoncé

Quel est le numéro CAS du traitement qui cause ces symptômes chez Christine ?

Format de flag : 123456-12-1

Solution

2 choses à trouver pour comprendre les symptômes de Christine :

• Quel médicament cause ces symptômes
  
• Qu’est-ce qu’un numéro CAS ?
  

Le numéro CAS est un numéro d’enregistrement d’une substance chimique. Ainsi, chaque composé à un numéro qui l’identifie dans le Chemical Abstract Service.

Il faudra donc trouver la molécule dans le traitement de la sclérose en plaques qui provoque des symptômes pseudo-grippaux.

En recherchant traitement sclérose en plaque effets secondaires dans un moteur de recherche, on peut trouver rapidement ce type d’information :

les immuno-modulateurs : ils agissent sur l’inflammation en modulant l’immunité naturelle. Trois types de médicaments existent : les interférons bêta-a1 ou bêta-1b, l’Acétate de Glatiramer et les dérivés des Fumarates. Ils permettent de réduire la fréquence des poussées et de ralentir la progression du handicap.

Les interférons : Avonex, Rebif, Betaferon, Extavia, Plegridy. Il existe un effet secondaire principal, le syndrome pseudo-grippal, dans les premières semaines du traitement et au long cours des zones d’inflammation cutanée.

On pourra ensuite rechercher avec précision des informations sur les interférons bêta 1ɑ par exemple sur Wikipédia.

La fiche indique le numéro CAS de la molécule : 145258-61-3

Flag : 145258-61-3

La détente

Énoncé

Elle aime se promener parfois pour estomper ses symptômes. À quelle adresse a-t-elle pris une photo près de chez elle ?

Format de flag : 123 rue du Lac Feytiat

Solution

Sur Facebook, Christine a publié une photo de sa promenade, qui l’aide à calmer les effets secondaires :

Elle indique être à Ambazac dans sa publication, et se promène au bord d’un lac, avec un petit ponton et une sorte de plage.

Il y a beaucoup de plans d’eau matérialisés sur Google, mais on peut voir sur la photo que celui-ci fait une certaine taille. Nous allons donc nous concentrer sur le lac le plus grand de la commune, le lac de Jonas :

La vue satellite est prometteuse, nous pouvons aller confirmer avec Street View.

Cette vue nous confirme bien que la photo a été prise à cet endroit.

Il faudra regarder avec attention le format demandé, en effet, l’exemple indique Feytat qui est une commune !

Flag : 585 Rte des Chaverneaux, Ambazac

Le Coach

Un homme bien sous tous rapports

Énoncé

Christine a trouvé un « soutien » dans son parcours qui semble lui apporter des conseils en privé. Quel est son nom ?

Format de flag : Raymond Redington

Solution

En étudiant la publication précédente, dans laquelle Christine évoque son envie de faire un stage, un certain Mathias Haztinger se manifeste en lui proposant des solutions.

Flag : Mathias Haztinger

Joli Village

Énoncé

Dans quelle commune dit-il résider ?

Format de flag : Madrid

Solution

Son profil Facebook indique Rochechouart dans le lieu de résidence. Ce challenge est là pour orienter les plus débutants des participants sur le profil Facebook.

Flag : Rochechouart

Ce challenge ouvre 2 autres challenges, qui peuvent être réalisés dans n’importe quel ordre.

La première étape sera toutefois commune aux deux challenges.

Un lieu bien trouvé ?

Énoncé

À quel endroit va se tenir le stage organisé par Mathias ?

Format de Flag (parcelle cadastrale) : SECTION PARCELLE

solution

Ce challenge annonce la complication de l’enquête.

Il n’y a aucun détail sur les stages sur sa page Facebook ou dans ses commentaires.

Il va falloir creuser.

Dans son profil Facebook, il indique un site web : osain.eu

L’étude du site est assez rapide. L’association semble proposer des activités new age et des stages.
Sur la page des stages, on constate un stage annulé prévu en avril 2024 mais pas grand-chose de plus.

Pourtant, le pied de page du site nous donne un indice. Le menu contient un item « discussions » qui est inactif…

En consultant une archive de la page, on constate qu’un lien a disparu du menu !

Ce lien nous mène vers un réseau social interne à l’association : https://social.osain.eu

Après s’être inscrit (avec une fausse adresse mail bien entendu), nous allons pouvoir étudier le contenu de ce réseau social.

On comprend rapidement qu’il y a eu un problème avec une des stagiaires qui a fait un malaise en avril ! Peut-être parlent-ils de Christine ?

Cela explique la mention annulée, et les posts en colère de certains usagers !

Mais pour le moment, essayons d’en savoir plus sur le stage.

Sur son profil, il a posté un message indiquant qu’il a trouvé un endroit parfait pour le stage :

Beaucoup d’informations ici pour tenter une localisation :

• Nord de Rochechouart
• Prairie en agriculture biologique
• 2161m²
• Une image
  

Trouvons tout d’abord un moyen de localiser les parcelles en agriculture biologique avec la requête localisation parcelles agriculture biologique qui nous renvoie vers un site du gouvernement : https://www.agencebio.org/cartobio/

Grâce à cette carte et aux filtres proposés, on peut rapidement localiser des parcelles au nord de la commune, qui sont bien référencées en « prairies » :

En zoomant on peut constater une certaine similitude entre les parcelles et la photo et on peut confirmer avec Street View qu’il s’agit bien du bon endroit :

Mais le site indique que la parcelle agricole à une surface de 1,9ha (soit 19 000 mètres carrés)… Mais parcelle agricole n’est pas parcelle cadastrale !

Une visite sur le site du Cadastre nous permet de confirmer que cette parcelle agricole est composée de plusieurs parcelles cadastrales :

La parcelle B 1089 correspond bien à notre recherche, en termes de surface, mais aussi d’indications avec la haie !

Flag : B 1089

Des tarifs raisonnables ?

Énoncé

Vous essayez d’en apprendre plus sur ce coach. Combien coûtent 1h de consultation avec lui ?

Format de flag : 99

Solution

Grâce au challenge précédent, nous avons trouvé le réseau des membres de l’association ! (mais vous auriez pu procéder de la même manière en commençant par ce challenge).

En consultant le profil de Mathias, on peut voir qu’il a des difficultés à mettre sa bannière au bon format, mais qu’elle est visible en entier un peu plus bas :

Sur cette bannière, on peut voir une URL : https://mathias-coach-bien-etre.e-monsite.com

Sur ce site on peut voir que le tarif horaire est de 95€

Flag : 95

Le Docteur

Questions indiscrètes

Énoncé

Selon vos renseignements, Christine n’a pas beaucoup d’argent. Elle aura peut-être négocié un prêt ou autre financement. Quel est le deuxième groupe de mots en gras dans le questionnaire qu’elle a rempli ?

Format de flag : liste de courses à faire

Solution

En étudiant son profil sur Osain, on trouve un post dans lequel elle confirme qu’elle va bien participer au stage à partir du 20 avril.

Elle a bien rempli un questionnaire de santé pour y répondre.

Nous allons donc étudier de près le site qui vend le stage.

Sur la page dédiée au stage sur le site, un lien indique qu’il est possible de bénéficier d’un financement.

En bas de page, un lien offre la possibilité de télécharger un dossier de demande :

Ce questionnaire, très complet, recueille des données très personnelles. 

Flag : état de santé actuel

Poussez-vous je suis médecin

Énoncé

Avant d’intégrer le stage, un avis médical d’un médecin partenaire est indispensable. Comment s’appelle le médecin avec qui Christine est en contact ?

Format de Flag : Louis Pasteur

Solution

Lors de sa publication sur le questionnaire de santé, on peut trouver un commentaire d’un certain Raoul Reidid.

Ce commentaire n’est pas visible dans le fil, mais uniquement si on clique sur « voir tous les commentaires ».

Si on consulte le profil de Raoul, on peut voir qu’il parle de patients à recevoir !
Flag : Raoul Reidid

Doctor Lib »

Énoncé

Il faudrait confirmer qu’il s’agit bien de ce médecin qui a eu rendez-vous avec Christine. À quelle heure devait-elle consulter ?

Format de Flag : 14:45

Solution

Sur le profil de Raoul Reidid, on peut voir 2 posts :

Sur le premier post, on distingue très clairement une URL non masquée (bravo) et sur le second, le célèbre post-it oublié.

L’URL étant protégée par mot de passe, on peut imaginer que le post-it nous aidera.

Il est possible, malgré les pixels, de distinguer le mot de passe : r4ou71sTH3b3s7

En utilisant ce mot de passe, on accède aux fichiers de Raoul qu’on va pouvoir télécharger.

On découvre également qu’il travaille pour la Clinique Yemanja, qui devrait ouvrir ses portes en 2024.

La sauvegarde de l’agenda au format ICS nous permet de visualiser les rendez-vous du docteur.
Le 19 avril à 17h30, il a bien un rendez-vous avec CD, qui a une sclérose en plaque (SEP)

Flag : 17:30

Belle expérience

énoncé

Afin de parfaire votre profil du médecin, essayez de trouver quel est le premier diplôme qu’il a obtenu dans le domaine médical. Quel établissement lui a délivré son diplôme en 2021 ?

Format de Flag : Faculté Mondiale du Portugal

Solution

Le dossier de sauvegarde vous a donné accès au CV du bon docteur, qui semble ne pas être médecin.

Le seul diplôme dans le domaine médical en sa possession est un diplôme de pharmacien délivré par l’université internationale de Chypre

Flag : université internationale de Chypre

Adieu le foie

Énoncé

Le Docteur Reidid ne semble pas médecin… mais est-il seulement pharmacien ?
Dans sa thèse de fin d’études, il semble qu’une erreur terrible a été commise, pouvant conduire à la destruction du foie des patients !
Quelle dose totale de la molécule étudiée était administrée par 24h aux participants ?
Quelle est la dose maximale recommandée par les médecins en automédication ?
Format de Flag (dose administrée / dose recommandée) : 4302mg / 1000mg

Solution

On peut également consulter la thèse de Reidid consacrée aux effets de la lune sur le paracétamol…
Dans le protocole de traitement, un rapide calcul permet de déduire que les participants, que nous espérons fictifs, ont reçu jusqu’à 8000mg de paracétamol par 24h !

La dose maximale de paracétamol conseillée en automédication est de 3000mg par 24h, exceptionnellement portée à 4000mg uniquement sur avis médical :

Flag : 8000mg / 3000mg

Expérience cachée

Énoncé

Il semble que le bon Docteur cache une de ses expériences professionnelles…

Quel est le nom de l’entreprise qu’il a fondée et qui ne figure pas sur son CV officiel ?

Format de Flag : Mc Donald’s Healthy Food

Solution

Il est temps d’explorer le site de la clinique.

Sa biographie ne mentionne pas d’autre expérience… pourtant en comparant une version archivée de sa biographie… on constate une différence intéressante :

Si vous avez été attentifs, Dr. Revel’s Marvel Oils est également un des sponsors de l’association Bénédictions d’Osain !

Flag : Dr. Revel’s Marvel Oils

Anonymous

Un simple oubli…

Énoncé

Edgar, le chef de l’association, semble avoir perdu quelque chose. Mais dans quel endroit ?

Format de flag : Bordeaux — Aéroport Bordeaux Mérignac

Solution

Sur le profil de Edgar, administrateur de la plateforme, un message est disponible indiquant qu’il a perdu ses papiers d’identité :

Nous allons essayer de retrouver l’annonce d’Edgard afin d’obtenir plus d’informations.

Une recherche sur Google avec l’expression « annonce perte portefeuille » par exemple, propose plusieurs sites, sur lesquels on ne trouve rien d’intéressant.

Mais le site Les Objets Perdus permet une recherche avec des critères :

En utilisant les informations à notre disposition, on arrive sur une annonce qui correspond :

Il a donc perdu ses papiers d’identité… avec un autre nom également…

Flag : Limoges — Gare de Limoges Bénédictins

…mais un oubli compromettant

Énoncé

Cette perte vous donne une information inattendue !

Quelle est la véritable identité d’Edgard ?

Format : Georges Clooney

Solution

L’annonce indique également une autre identité pour Edgard Kalmendi : Isaac Decheev

Flag : Isaac Decheev

Reconversion

Énoncé

Quelle était l’entreprise pour laquelle Isaac a travaillé pendant plus de 21 ans ?

Format de Flag : Renault France SA

Solution

En cherchant avec la nouvelle identité, on trouve un profil LinkedIn au nom de Isaac.

Flag : Ricoh Canada Inc.

Nos meilleures années

Énoncé

Dans quel établissement Isaac et Raoul ont fait leurs études en commun ?

Format : Collège Privé Louis Arago

Solution

En comparant le profil LinkedIn d’Isaac et le CV de Raoul, on trouve rapidement cette information :

Flag : Lycée Professionnel Francois d’Assise

La clinique

Le lien

Énoncé

Au-delà du médecin, qui a été désavoué par Edgard, il existe peut-être un lien entre les 2 structures. Mais il faut le prouver !

À quelles date et heure des fichiers ont-ils été transmis pour la dernière fois à la clinique par Osaïn ?

Format de flag : AAAA-MM-JJ HH:MM:SS

Solution

Une analyse plus poussée du site osain.eu avec web-check.xyz montre le contenu du robot.txt

On trouve un dossier /FTP qui n’est pas courant dans les sites wordpress courants.

Le contenu du fichier log.txt présente une liste de fichiers, des questionnaires, envoyés vers le site de la clinique Yemanja.

la date et l’heure d’envoi sont indiquées dans ce fichier :

Flag : 2024-04-20 23:34

Trust me I am a developper

Énoncé

Quelle est la version du logiciel utilisé pour récupérer les questionnaires par la clinique ?

Format de flag : v4.9.8

Solution

En suivant le lien présent dans le fichier de log trouvé sur le site d’osain.eu, on obtient un lien vers une URL sur le site de la clinique Yemanja

Le contenu du log.txt semble identique à celui d’osain.eu mais sur le traitement en réception.

Il y a cependant un fichier php en plus.

On obtient la version du fichier 1.4.2 avec une version et des initiales A.F.

Flag : v1.4.2

Start with a K

Meilleur profil

Énoncé

Kalliopée semble avoir eu une autre carrière.

Mais avec quel modèle d’objectif (marque / focale / ouverture) a été utilisé pour son portrait ?

Format de flag : Tokina 105mm f2.5

Solution

En cherchant Kalliopée Hadrianos sur Google, on peut constater qu’elle est effectivement modèle, et qu’elle publie sur Bookfoto.

Sa biographie donne également un lien vers son compte Bluesky

Sur Bluesky, on trouve une publication qui parle de son photographe chouchou, un certain Gary.

Mais c’est en regardant attentivement la description alternative de l’image (en cliquant sur le [alt]) que l’information sera disponible :

Photographie de Gary Durbourg représentant une femme aux longs cheveux châtains et ondulés, avec des yeux bleus et un sourire énigmatique.

Ce Gary Durbourg n’a pas de site officiel (et vous retrouverez peut-être sa trace dans un autre write up 🙂) mais en recherchant sur l’annuaire des créatifs Behance, on retrouve son profil :

En consultant l’album de Kalliopée, on peut trouver l’information recherchée dans son commentaire : « Toutes ces photos ont été réalisées avec mon vieux Canon 5D MkII et un objectif Samyang 85mm 1.4 ».

Flag : Samyang 85mm f1.4

Fish and chips

Énoncé

Toute l’équipe semble se connaitre, mais où Henri a rencontré Raoul et Kalliopée en même temps pour la première fois ?

Format de flag : Ville — Lieu de Rencontre

Solution

Nous avons pu voir que Henri est moniteur de plongée.

Sans doute y a-t-il des traces quelque part.

Notre problème est que Henri Lovebruk à un « presquomonyme » qui est un écrivain célèbre… (et auteur favori d’un des créateurs du CTF… comme par hasard).

Il faudra donc forcer la recherche Google pour n’utiliser que le nom de famille exact.

On découvre alors un profil sur un réseau de plongeurs qui possède 4 enregistrements de plongée.

Il est également membre d’un groupe appelé Yemanja !

Nos 3 compères ont bien tous plongé au même endroit, et se sont rencontrés à cet endroit

Flag : Larnaca — Elpida Wreck

Attila

Un boulot de rêve

Énoncé

Il serait intéressant d’en savoir plus sur l’expérience de Raoul. Quel est le numéro de téléphone de l’établissement où il a fait son stage ?

Format flag : +451 12 22 31 11

Solution

Dans la sauvegarde de Raoul, vous avez pu trouver une photo de son premier stage

Sur son CV, il est indiqué qu’il a été stagiaire dans une pharmacie à Nicosie.

Munie de ces 2 informations, il est possible de chercher manuellement toutes les pharmacies sur Google Maps par exemple, mais ce serait long et fastidieux.

Nous allons donc utiliser Overpass Turbo pour tenter de réduire le nombre de pharmacies à rechercher.

En utilisant ce code :

(nwr[amenity=restaurant]({{bbox}});)->.resto;

nwr [amenity=pharmacy](around.resto:40);

out;

Nous affichons uniquement les pharmacies situées à moins de 40 mètres d’un restaurant.

Il sera alors possible de vérifier rapidement en zoomant quelle pharmacie est en face d’un restaurant.

Rapidement, on peut identifier la pharmacie ici :

On confirmera que c’est bien la bonne pharmacie avec une visite sur Street View

Malheureusement, il n’y a pas de numéro de téléphone sur la fiche Google…

En cherchant « pharmacy kiriakou matsi 21 nicosia phone number » sur Google, on peut toutefois arriver sur un annuaire chypriote qui nous indique le bon numéro de téléphone.

Flag : +357 22 44 17 80

Platonique

Énoncé

Le Docteur Reidid a dû rencontrer ses futurs associés il y a un moment déjà.

Quand a-t-il vu pour la première fois la responsable administrative ?

Format de flag : 11/06/2024

Solution

Lors de l’étude des rendez-vous de Raoul, vous aurez pu constater un email à envoyer à GI le 20 avril.

Il dit qu’il devrait faire un post sur psyco.fr.

En se rendant sur ce site, on s’aperçoit qu’il héberge un pod Diaspora.

Une inscription rapide et anonyme vous permettra de trouver rapidement le profil de Raoul, et un poème qu’il a écrit à destination de Gizem.

Ce poème parle de leur rencontre, quand elle livrait les produits dans la pharmacie où il était en stage.

En regardant la biographie de Gizem, on peut voir qu’elle est passionnée de running.

Elle possède bien un profil Strava, qu’on peut trouver avec une recherche sur le site, et a réalisé une « livraison de produit parapharmaceutique » le 13 avril 2022

La date du mercredi 13 avril 2022 est d’ailleurs évoquée dans le poème : « Un mercredi, un moment béni par le destin. »

Flag : 13/04/2022

Chill Time

Énoncé

Il semble que le docteur et la responsable administrative se connaissent donc bien. Où se retrouvaient-ils pour discuter du projet de la clinique ?

Format de flag : Mc Donald’s

Solution

Dans le poème, Raoul évoque leurs discussions :

Au café « Mikel », nos rires se mêlaient aux discussions,

Jusqu’à minuit, jusqu’au bar à chicha voisin.

Dans l’obscurité, jusqu’à deux heures du matin, une fusion,

Nous continuions nos débats, nos élans sans fin.

Retournons sur Overpass Turbo après une petite recherche.

Les cafés Mikel sont une franchise, comme Starbucks. Nous pourrons donc les chercher avec la marque. Les Bars à Chicha en anglais sont appelés Hookah Lounge.

Nous pouvons donc construire notre requête :

nwr[brand=Mikel]({{bbox}});)->.mikel;

nwr [amenity=hookah_lounge](around.mikel:40);

out;

Il n’y a qu’une seule possibilité à Nicosie qui nous est renvoyée :

On peut également contrôler notre solution dans Google, pour confirmer le nom.

Flag : D’Avilla Cafe

Activité cachée

Snake Oil

Énoncé

Vous avez identifié et relié les différents protagonistes, vous avez compris que les dossiers médicaux voyagent… mais vers où ?

Peut-être faudrait-il s’intéresser à d’autres pistes ?

Quel est le pseudonyme de la personne à contacter pour essayer d’en savoir plus sur cette activité étrange du Dr Reidid qui a disparu de sa fiche ?

Format de flag : Blanche Neige

Solution

Depuis le challenge Expérience cachée nous savons que le Dr Reidid a créé la Dr. Revel’s Marvel Oil.

C’est également un des sponsors du réseau social étrange que vous avez trouvé :

En consultant la page de l’entreprise, on peut apprendre que suite à des soucis, l’achat ne se fait que par cooptation.

Un certain Johnny LaNeige commente d’ailleurs cette publication en proposant de coopter des amateurs de traitements fantaisistes :

Flag : Johnny LaNeige

L’oignon fait pleurer

Énoncé

Vous interrogez ce témoin avec succès, qu’elle adresse vous donne t-il ?

Format de flag : http://urlcomplete

Solution

Nous allons donc tenter d’obtenir l’URL d’une boutique en ligne (le titre du challenge aura permis aux plus aguerris d’entre vous qu’il va s’agir d’un site présent sur le Darkweb) en interrogeant ce Johnny LaNeige !

Sur son profil, il précise qu’il ne répond plus aux messages privés, mais qu’il faut le contacter par mail :

Mais, il ne donne pas son mail (le coquin).

Heureusement, son message est signé de manière « étrange » : johnny-b9bb

Nous allons donc rechercher sur WhatsMyName.app ce pseudonyme :

Nous obtenons un lien Calendly dans lequel nous pouvons soit prendre un rendez-vous, soit le contacter par mail :

Malheureusement, aucun créneau n’est disponible… Il faudra donc utiliser un email pour correspondre avec Johnny.

Le mail que vous allez envoyer est en réalité lu par un script Python, qui va fonctionner à partir d’un système de score basé sur des mots clés.

Johnny va vous poser des questions, jusqu’à ce que vous ayez montré « patte blanche ».

Après un (ou plusieurs) échange avec Johnny, vous obtiendrez enfin le précieux sésame :

Flag : http://2a2j6lmcbhngjad2mhi7kig6b2bai7rmihctkrpvpnksmcwm6edpgryd.onion

Only Sysadmin can judge me

Énoncé

Les sites onion sont difficiles à tracer… mais vous pourrez sans doute trouver une piste.

Quel est le pseudo de la personne en charge de la boutique en ligne ?

Format de flag : Frank The Bold Rhino

Solution

Vous visitez le site Onion, mais il ne contient que très peu d’information…

Le code source n’est pas très parlant non mais mais une chose devrait attirer votre attention… la page de commande, qui a été désactivée suite au non-paiement d’une facture :

Sur cette page, plusieurs mots-dièses sont présents…

Habituellement réservés aux réseaux sociaux, peut-être pourrons nous retrouver la trace du développeur.

Vous l’aurez compris, nous sommes dans un monde un peu underground… Inutile donc de chercher sur les réseaux les plus connus (mais vous l’aurez fait, ne soyez pas tristes, nous l’aurions fait aussi).

C’est sur Mastodon que nous pourrons retrouver notre webmaster :

Son pseudonyme est donc trouvé

Flag : Nono the Web Monkey

SEO

Nouvelle donne

Énoncé

Quel est le nom de l’entreprise derrière la boutique sur le Dark Web ?

Format de Flag : Castorama

Solution

Étudions le profil Mastodon, et en particulier les posts.

2 posts sont intéressants :

Nous allons donc étudier le site dont il parle.

Dans son message, il parle d’un document qui ne sera valable que 6 mois, option qui peut être utilisée sur Framapad :

En créant un pad et en le partageant, on peut voir que cela ressemble au contenu de son post si on le met en lecture seule :

Nous pouvons maintenant reconstruire l’URL à partir de ces informations :

https://semestriel.framapad.org/p/r.b560c18bb6f25189569e22e77b501dc5

En lisant le contenu, on voit qu’il parle bien de cette entreprise qui ne paie pas ses factures :

Flag : Arthikana

Rendez-vous

Énoncé

Quand et où va-t-il se rendre pour tenter de récupérer son argent.

Format de flag : 24 mai à Nantes

Solution

Nous voilà au challenge final, qui n’est qu’une formalité, l’information étant donnée également dans le texte précédent.

Flag : 11 juin à Limoges

Point Final(e)

Énoncé

Vous avez identifié un témoin potentiel qui en sait beaucoup, et vous connaissez sa destination.

Afin de l’interroger, nous n’enverrons que nos meilleurs éléments !

Il est temps pour vous de vous reposer, et d’assumer les erreurs que vous aurez faites pendant votre parcours…

Chaque mauvaise réponse pourra vous coûter la victoire, aurez-vous été les plus prudents ?

Rendez-vous très bientôt pour les résultats !

Entrez mais j’étais sûr de mon flag ci-dessous pour terminer votre aventure !

Solution

Vous avez terminé la partie qualification… rendez-vous à la finale pour les meilleurs d’entre vous… et à la suite de ce document pour ceux qui n’auront pas eu la chance de se qualifier.

Localisation

Retour aux sources

Énoncé

Elle n’est plus en France actuellement… Trouvez l’endroit où elle a résidé en dernier.

Format de Flag : Nice Rock Grandhotel

Solution

Retour aux sources pour Kalliopée, retour sur Bluesky pour nous.

Ou on peut constater une série de messages postés en grec :

Elle dit :
Maintenant que je suis de retour à la maison, je vais partager quelques photos avec vous.
Retour aux sources… et thérapie par les chats 🙂

Et en moins de 10 kilomètres, nous nous souvenons des anciennes méthodes… Imaginez éteindre un feu avec ça…

Mon profil Tripadvisor a été supprimé, je ne l’avais pas utilisé depuis plusieurs années, j’en ai donc créé un à nouveau pour promouvoir les meilleurs endroits de mon pays.

Nous savons déjà qu’elle a étudié à Chypre dans sa jeunesse, et il se pourrait qu’elle soit originaire de là-bas. Elle parle également de son compte Tripadvisor qui a été suspendu, mais qu’un nouveau a été créé !

En recherchant la photo avec les chats, Google images nous donne une indication primordiale :

La recherche du lieu sur Tripadvisor nous permet de consulter les avis

Kalliopée a bien laissé plusieurs avis sur ce site, dont un qu’elle n’a pas pris en photo :

Et c’est bien là qu’elle réside pour le moment !

Flag : Pier Beach Aparthotel

Un nouveau départ

Énoncé

Rien ne semble se passer comme prévu, et Isaac préfère prendre des distances avec ses activités actuelles.

Quelle est sa nouvelle destination ?

Format de Flag : Barcelone — Espagne

Solution

Le dernier Post d’Isaac indique un départ avec le vol ACA871

En recherchant le numéro de vol avec Flightaware (ou toute autre application de suivi de vol), on découvre que sa destination finale est Montréal.

Flag : Montréal — Canada

Jolie Ville

Énoncé

Mathias a laissé un message sur le téléphone de Christine…

Pourrez-vous retrouver la ville où il se cache ?

Format de flag : `Limoges`

Solution

Mathias laisse un long message à Christine. On peut entendre à l’arrière-plan des cloches, ainsi que des personnes parlant en français et des bruits de ce qui pourrait être un rail.

Étant donné le nombre de cloches impliquées, on peut déduire qu’il s’agit d’une cathédrale, et qu’à proximité doit passer un tramway.

Essayons donc de voir s’il y a beaucoup de cathédrales avec un tramway à proximité.

Pour cela, nous utiliserons OVERPASS TURBO avec un script qui permet d’afficher les lignes de tramway ainsi que les cathédrales :

 [out:json][timeout:90];
  
// Limiter la recherche à la France
  {{geocodeArea:France}}->.searchArea;
  
// Rechercher les cathédrales dans la zone de recherche (France)
  (nwr["building"="cathedral"](area.searchArea);)->.cathedrals;
  
// Rechercher les rails de tramway autour des 300m et les stocker
  (nwr[railway=tram](around.cathedrals:300);)->.trams;
  
// Afficher uniquement les cathédrales avec des rails de tramway à moins de 300m
  nwr.cathedrals(around.trams:300);
  out geom;
  nwr.trams;
  out geom;
  
{{style :
  node[building=cathedral], way[building=cathedral], relation[building=cathedral] {
color: red;fill-color: red;
  }
  node[railway=tram], way[railway=tram], relation[railway=tram] {
    color: blue;
    fill-color: blue;
  }
  }}

En prenant en compte le nombre de cloches important, on peut imaginer que la cathédrale doit être de taille importante.

Nous allons donc nous intéresser à la campanologie, soit l’étude des cloches, pour inaugurer cette nouvelle discipline de l’OSINT : le CLOCHINT !

La page Wikipedia consacrée aux cloches nous parle des plus grandes sonneries de cloches.

On s’aperçoit d’ailleurs que chaque cathédrale possède ses cloches, qui sonnent de manière différente !

Le plus grand ensemble de cloches en France est celui de la cathédrale de Strasbourg.

Cela semble une bonne base de départ non ?
On peut trouver un enregistrement du plénum sur YouTube.

Il ressemble énormément à ce qu’on peut trouver dans notre fichier audio.

En écoutant d’autres plénums, on note bien les différences avec les autres cathédrales en France.

On pourra d’ailleurs confirmer qu’il s’agit bien de cette cathédrale en consultant la page Wikipédia de la sonnerie de la Cathédrale de Strasbourg… qui contient en réalité l’enregistrement original du son en arrière plan (les Rhinos sont farceurs)

Flag : Strasbourg

Mon Petit Village

Énoncé

Gizem également semble avoir quitté le territoire.

Pourrez-vous retrouver dans quel village elle est partie ?

Format de flag : `New York`

Solution

Deux pouets de Nono the Web Monkey indiquent que Gizem chantait bien et qu’elle devrait s’enregistrer.

En recherchant le nom de la responsable administrative sur SoundCloud, Gizem Ihanet, on trouve des résultats probants :

Notre chère Gizem a publié quatre chansons sur la plateforme : https://soundcloud.com/gizem-469913696

L’outil https://soundcloudtool.com/soundcloud-downloader-tool permet de récupérer les pistes soundcloud en MP3.

L’IA va nous aider « un peu) dans la résolution de ce challenge pour séparer la musique et traduire le texte.

On peut utiliser l’outil Moises.ai par exemple (quatre chansons gratuites, ça tombe bien pour notre enquête).

on charge alors un des morceaux « Under the Mediterranean Sky » :

puis on sépare la musique de la voix

En utilisant la transcription des paroles par IA

On obtient des éléments intéressants décrivant un village (après une traduction sur Deepl.com) :

Τραγουριό δίπλα στη θάλασσα

Όπου τα κύματα σκάνε και βρυχώνται

Δύο εκκλησίες στέκονται ψηλά

Που υψώνονται από τα μόδες έδαφος

Με μια πλατεία στολισμένη

Γεμάτη με τετράγωνα

Τόσο τακτοποιμένα

Αυτό το μικρό φωριό στη Κύπρο

Όπου ο χρόνος περνάει σε δεύτερη μοίρα

Μπορείς να νιώσεις το απαλό αεράκι

Chanter au bord de la mer

Là où les vagues s’écrasent et rugissent

Deux églises se dressent

S’élevant à partir des modes du sol

Avec un carré orné

Rempli de carrés

Si bien agencés

Ce petit village de Chypre

Où le temps s’éclipse

On sent la douce brise

Nous avons donc un village à Chypre au bord de la mer, avec deux églises et une « zone » remplie de carrés.

Sur la chanson « Stargazer’s Dream”, on a les paroles en grec (ce qui confirme la langue des chansons)

Αρχαίες πέτρες
Ξεφτισμένες και φθαρμένες
Ένας ψίθυρος της ιστορίας
Κάποτε ένδοξα στολισμένη
Ψηλά στο λόφο
Όπου οι σκιές ήταν ακόμα
Ένα μεσαιωνικό παρατηρητήριο
Η συγκίνηση του παρατηρητή των άστρων

Το φεγγαρόφωτο χορεύει
ρίχνοντας μια απόκοσμη λάμψη
Μέσα από τα σπασμένα παράθυρα
Τα μυστικά αρχίζουν να ρέουν
Ένα μωσαϊκό από αστέρια
Ζωγραφισμένο στη νύχτα
Σε αυτό το ιερό μέρος
Τα όνειρα πετάνε

Σπασμένο τηλεσκόπιο
Σιωπηλό και ακίνητο
Κάποτε έψαχνε για απαντήσεις
Για τη γήινη θέλησή μας
Ψιθυριστοί άνεμοι
Μεταφέροντας ιστορίες που δεν ακούστηκαν
Από αστρονόμους που έχουν φύγει
Τα οράματά τους θολά

Pierres anciennes

Effiloché et usé

Un murmure de l’histoire

Autrefois glorieusement orné

En haut de la colline

Où les ombres étaient encore

Une tour de guet médiévale

Le frisson de l’observateur des étoiles

Le clair de lune danse

jetant une lueur étrange

À travers les vitres brisées

Les secrets commencent à affluer

Une mosaïque d’étoiles

Peint la nuit

Dans ce lieu saint

Les rêves volent

Télescope cassé

Silencieux et immobile

Il cherchait des réponses

Pour notre volonté terrestre

Vents murmurants

Porter des histoires inédites

Des astronomes disparus

Leurs visions sont floues

Il est question d’une tour médiévale d’observation.

Dans no man’s land, la chanson décrit la ligne de démarcation entre la République turque de Chypre et Chypre.

Explorons maintenant l’île avec nos éléments

(Il arrive qu’Overpass ne fonctionne pas, comme durant la rédaction de ce guide)

On va donc chercher “à l’ancienne”

Cherchons “Observatoire tour médiévale chypre”, un résultat sur le petit futé donne un résultat intéressant.

Vérifions ce que nous avons dans ce village. Nous retrouvons bien cette tour.

Le village est situé à proximité de la ligne de démarcation.

Et nous visualisons bien deux églises avec une place couverte de mosaïques en forme de carrés.

Bingo ! Gizem est donc bien parti dans ce petit village de bord de mer.

Flag : “kato pyrgos”

Le Monde du Silence

Énoncé

À quel endroit est localisée la dernière trace numérique laissée par Henri ?

Format de flag : `12° 34′ 00″ sud, 5° 67′ 00″ est`

Solution

En retournant sur le site de plongée, on peut trouver la trace, non localisée, d’une plongée effectuée le 14 mai 2024.

Une recherche inversée nous révèle que l’image correspond à l’épave du U171.

La page Wikipédia consacrée à l’épave nous donne les coordonnées exactes :

flag : 47° 39′ 00″ nord, 3° 34′ 00″ ouest

LA FINALE

Les 4 meilleures équipes de la finale ont été conviées à Limoges afin de clôturer notre enquête !

Voici leur histoire.

À leur arrivée sur place, le briefing suivant a été donné :

Bienvenue à Ester Technopole,

Vous avez prouvé vos capacités dans cette enquête de manière remarquable !

Vous pensiez enquêter sur des dérives médicales, et vous avez réussi à mettre au jour un trafic de données personnelles mais le plus dur reste à faire… Stopper tout cela !

Vous êtes venu aujourd’hui pour démasquer les responsables. Selon nos dernières informations, la Société Arthikana a quitté ses locaux récemment, et nous n’avons aucune idée de l’identité réelle du témoin qui doit venir aujourd’hui.

Nous comptons sur vous pour nous éclairer… vous avez jusqu’à 15h !

N’hésitez pas à vous déplacer pour explorer l’environnement, si vous devez le faire, merci de nous prévenir, un organisateur vous accompagnera pour assurer votre sécurité.

Bonne chance à tous et à tout à l’heure.

À l’issue du Briefing, les équipes ont été “lâchées” dans la nature avec 3 questions auxquelles répondre. Mais avant de pouvoir le faire, elles devaient trouver des informations essentielles pour démarrer.

Visiter les lieux

Il fallait tout d’abord arriver à localiser les anciens locaux. L’entreprise ne figurant sur aucun annuaire ni aucune carte…

Les joueurs se sont rendus à l’accueil d’Ester pour interroger le personnel.

En posant les bonnes questions, l’hôtesse d’accueil leur indiqua (un peu de passé simple ne fait jamais de mal) que la société FACIL’iti occupait désormais les anciens locaux d’Arthikana.

Arrivés sur place, les joueurs ont interrogé la personne de l’accueil, qui leur tint à peu près ce langage :

“Oui, nous avons pris la place d’Arthikana, d’ailleurs c’est drôle, ce matin on a vu un des associés devant les locaux juste avant l’ouverture, il discutait avec un jeune gars de dos… Ils avaient l’air de se disputer… puis l’associé lui a donné un disque dur et ils sont partis…
Je n’ai même pas eu le temps de lui donner cette enveloppe… c’est des papiers qu’ils avaient oublié dans le déménagement… Tenez, je vous les donne, si vous le croisez vous pourrez lui rendre”

À l’intérieur de l’enveloppe des brochures commerciales sans intérêt…

Mais en analysant correctement tous les documents, on pourra distinguer une note imprimée au dos du dernier numéro du magazine de Limoges Métropole :

Backup mail https://drive.proton.me/urls/1F7M5TP99M#ZeqMRxap2pxW

Analyse des mails

Au travers de l’analyse de ces mails,les équipes ont pu trouver quelques éléments complémentaires :

Une information sur une cache dans un mail de Gizem :

Raoul,

Dans le contexte actuel, j’ai pris la décision de mettre en sécurité les documents concernant notre projet « ArthiKana » ainsi que les recettes de tes huiles. Malgré la pression de Henri et Kalliopée, et les risques de perquisition de nos bureaux, je les ai déplacés à un endroit sûr où ils ne peuvent être trouvés ou saisis.

Je tiens à te dire que ma décision n’est pas seulement professionnelle mais aussi personnelle. Je ressens le besoin de protéger ce projet car il est lié à l’estime que j’ai pour toi et pour notre collaboration. Je sais que tu pourrais être plus directement affecté si quelque chose venait à mal tourner, et je ne le souhaite pas.

Les documents sont en sécurité à κατσαρόλες.μάθαιναν.αποτελώ

Je n’ai pas besoin de t’expliquer ce que cela veut dire…

Prends soin de toi,

Gizem

Administratrice

Yemenja Clinic

gizem@yemenjaclinic.eu

Un lieu de stockage :

On peut également retrouver une information sur un lieu qu’ils pensaient trouver !

Chère Gizem,

J’espère que tu vas bien. J’ai une tâche importante à te confier qui pourrait être déterminante pour l’avenir de nos activités.

J’ai repéré un local idéal pour notre expansion, situé au Sud-Est d’Ester Technopole, en bord de Vienne. Le local mesure environ 2100 m². Selon les informations que j’ai pu recueillir, il avait été acquis pour 140 000 € en septembre 2020. Je pense qu’une offre de 170 000 € pourrait être intéressante pour le vendeur actuel.

Pourriez-tu rechercher le SIREN du propriétaire actuel de ce local ? Cela nous permettra de faire une offre d’achat formelle et d’engager des discussions. C’est une opportunité que nous ne devrions pas manquer.

Merci de traiter cette demande avec la plus grande discrétion et de me tenir informée de tes avancées. Ta rapidité et ton efficacité seront clés dans cette démarche.

Cordialement,

Kalliopée

Directrice

Yemenja Clinic

kalliopee@yemenjaclinic.eu

Le paiement

Raoul annonce qu’il va régler ses dettes :

Bonjour,

Je vous écris pour confirmer notre rendez-vous du 11 juin 2024 à Ester Technopole concernant le règlement en espèces pour la prestation de notre site web, « Dr Revel’s Magic Oil ».

Je tiens à vous informer que, suite à quelques contretemps indépendants de ma volonté, le règlement pourrait subir un léger retard. Je m’assurerai que la totalité du montant convenu soit disponible et prêt à être remis lors de notre rencontre, même si cela peut nécessiter un peu plus de temps durant notre rendez-vous.

Je vous prie de bien vouloir faire preuve de compréhension et je vous remercie par avance de votre patience et de votre flexibilité. Votre professionnalisme dans la gestion de cette situation est grandement apprécié.

Je vous remercie pour votre coopération et votre discrétion, et j’attends avec impatience notre rencontre.

Cordialement,

Raoul

Micro Nutritioniste et Fondateur de Dr Revel’s Magic Oil

raoul@yemenjaclinic.eu

Et la personne lui répond de manière peu bienveillante :

Raoul,

Je t’écris pour te rappeler notre accord et l’importance de respecter tes engagements financiers envers moi. J’espère que tu prends notre arrangement au sérieux car, comme tu le sais, j’ai des attentes précises concernant les termes de notre accord.

Je veux être très clair : si le paiement n’est pas effectué comme convenu, je trouverai des moyens de récupérer ce qui m’est dû. Et crois-moi, je suis prêt à utiliser tous les moyens nécessaires pour me payer sur ce que tu me dois. Considère cela comme un conseil amical : ne me force pas à prendre des mesures que nous pourrions tous regretter.

Je te conseille vivement de régler cette situation au plus vite pour éviter des complications inutiles. J’attends de tes nouvelles rapidement avec la confirmation de ton paiement.

Cordialement,

Et pleins d’autres choses :

On trouve également pas mal d’informations sur l’organisation interne, les disputes et la rupture de confiance qui amène à l’arrêt du projet…

Le Corbeau

Énoncé

Qui est l’auteur de l’email anonyme que vous aviez reçu et qui a déclenché cette enquête ?

Format du Flag : `Michel Hazanavicius`

Solution

On trouve plusieurs mails envoyés par Henri destinés à Kalioppé et Gizem. Il est très déçu du manque de réponses de ces deux dames.. il donne un ultimatum ou sinon il dénoncera tout et le dernier est celui qui a été reçu par la famille

Date : Mon, 21 May 2024 07:30:11 +0200 

  From: Anonyme <anonymous@securemail.com>

  To : famille.daguerran@provider.com

  Bcc: gizem@yemenjaclinic.eu, kalliopé@yemenjaclinic.eu

  Subject: Christine Daguerran

  MIME-Version : 1.0

  Content-Type : text/plain; charset="UTF-8"

  Content-Transfer-Encoding : 8bit

  Bonjour

  Je vous contacte en tant que personne soucieuse et informée concernant un incident récent qui pourrait affecter votre famille. Je pense qu’il est important que vous soyez vigilants et que vous considériez l’opportunité d’initier une enquête plus approfondie sur un événement survenu lors d’une activité à laquelle Christine a participé.

  Je ne peux pas entrer dans les détails via ce message pour des raisons de sécurité et de confidentialité. Cependant, je vous recommande fortement d’explorer plus avant et de poser des questions spécifiques sur l’activité en question.

  Prenez soin de votre famille.

  Cordialement,

Un informateur.

Flag : Henri Lovebruk

Le lieu

Énoncé

Arthikana a déménagé, sans doute avaient-ils un lieu en tête pour continuer leurs activités. Pourrez-vous trouver le SIREN de l’entreprise propriétaire des lieux qu’ils convoitaient ?

Format : `123456789`

Solution

La description de ces lieux est donnée dans les mails, avec ces informations :

• 2100m² de surface de local
• Sud-Est d’Ester Technopole
• en bord de Vienne
• vendu pour 140 000€ en septembre 2020
  

Armé de ces informations, il est possible de consulter la carte des ventes sur le site du DVF et de tracer une ligne au sud-ouest :

On distingue clairement des parcelles avec une vente enregistrée (en violet sur la carte)

La parcelle BA0044 a bien été vendue en septembre 2020 pour 140 000€, et possède un local de 2100m² !

Mais il faut encore trouver son propriétaire !

On note donc l’adresse de la parcelle : 21 all de maison rouge

Les données des personnes morales propriétaires de parcelles sont disponibles sur le site des données de l’administration.

Mais un site permet d’éviter de consulter trop de fichiers CSV, et on pourra retrouver notre information directement dessus à partir de l’adresse :

https://opendata.koumoul.com/applications/carte-des-parcelles-des-personnes-morales-majic?lat=45.85218&lng=1.306668&zoom=17&selected=87113000BA0043

Flag : 493527683

Le chimiste

Énoncé

L’huile contient un ingrédient qui semble hautement toxique. Sa toxicité est d’ailleurs documentée depuis des décennies. Au 19e siècle, un certain Henri Arrault préconisait un traitement pour l’empoisonnement avec cette substance. Que devaient boire les patients ?

Format : `Alcool à brûler évaporé`

Solution

À ce stade, les joueurs n’ont aucune idée de la recette exacte de l’huile vendue…

Mais un mail de Gizem attire leur attention…

Elle annonce avoir fait en sorte de mettre les données en sécurité, et donne 3 mots en grec :

Les documents sont en sécurité à κατσαρόλες.μάθαιναν.αποτελώ

Les habitués auront reconnu un What 3 Words, un site qui permet de localiser n’importe quel endroit dans le monde avec une combinaison de 3 mots.
Ceux qui ne connaissent pas pourront chercher sur Google “localisation avec 3 mots”.

Bien entendu, chaque équipe aura obtenu un emplacement différent, qui renvoient tous dans une forêt située à quelques centaines de mètres du lieu de la compétition :

En se rendant sur place et en fouillant le “carré” fourni, une clé USB est récupérée.

Celle-ci contient plusieurs documents :

• des extraits de compte
• des projets de statuts
• une “recette” pour la Dr. Revel’s Marvel Oil
• un courrier de l’ordre des médecins

En étudiant la recette de l’huile magique, on peut constater qu’il s’agit pour l’essentiel de produits inoffensifs, et d’ingrédients ésotériques.
La nicotine est un produit dangereux… peut-être mis ici pour aider à l’addiction à l’huile.
Mais en soi, la nicotine n’est pas dangereuse à cette dose.
Le composant qui doit attirer l’attention est l’aconitine !

Cet alcaloïde, retrouvé dans la plante Aconitum Napelus, est un neurotoxique puissant. 2 à 3g de racine de cette plante peuvent entraîner le décès.
Si son usage traditionnel est connu pour traiter certaines pathologies (sans preuve réelle d’efficacité ), son usage semble irresponsable dans un tel produit.

La toxicité de cette plante est d’ailleurs documentée depuis des années.

Afin de trouver des textes du 19e siècle, le moteur le plus efficace est Galica.

Il suffit de se rendre sur le site et de commencer par chercher “Aconit”.

On pourra affiner la recherche ensuite avec le nom qui nous est fourni dans l’énoncé.

Cela permet de réduire le nombre de résultats, et de voir apparaitre un ouvrage de quelques pages sobrement intitulé : “Instruction pratique sur l’emploi des médicaments contenus dans la pharmacie portative. Instruction pratique sur l’emploi des contre-poisons.”

À la page 8 de cet ouvrage, notre bon pharmacien conseille de boire un breuvage que nous ne saurions conseiller aujourd’hui :

Flag : eau sucrée éthérée

Le Vendeur

Énoncé

Quels sont le nom et le prénom de la personne qui détient maintenant toutes les données de santé ?

Format : `Michel Hazanavicius`

Solution

À la lecture des mails, on comprend que le projet Arthikana a coulé dans l’eau de la Vienne.

On peut aussi constater que Raoul a décidé de payer le webmaster et lui aurait remis un disque dur le matin même…

Nous émettons l’hypothèse qu’il l’a payé avec les données médicales… mais comment en être certain ?

Retournons sur nos pas, et consultons de nouveau le Mastodon du Webmaster.

On peut voir qu’il a posté de nouveaux messages :

On retourne donc sur la liste trouvée précédemment et on constate qu’il a ajouté un site :

## MEDIAUCTION

http://i2r73ldasp5gh4tfxmf643zin5vqtpw7scwouetbohixambjshauz4qd.onion

Youpi !

De quoi me faire une belle caisse de retraite si tout va bien 😀

En bas de la page, le Webmaster NNWM (Nono the Web Monkey) a publié sa clé PGP publique :

On peut la télécharger pour l’étudier grâce au logiciel en ligne de commande GPG :

Le Webmaster a eu la maladresse de mettre sa vraie identité dans sa clé !

Flag : Arnaud Falanguery

L’acheteur

Arrêtez les enchères et clôturez ainsi l’enquête !

(une seule équipe pourra résoudre ce challenge… qui mettra fin à la finale)

En regardant encore le Mastodon de Nono, on note un drôle de pouet :

Il parle d’un kill switch accompagné d’un screenshot du jeu “Gradius” édité par Konami.

Sur la page Wikipédia du jeu, on peut voir qu’il a permis l’apparition du célèbre Konami Code !

Et effectivement, un entrant la célèbre combinaison de touche :

Les enchères sont stoppées et un code est affiché !

Pour les équipes suivantes, l’énoncé a donc été modifié, en demandant uniquement l’adresse du site, où ils ont pu constater que quelqu’un était passé avant…

Format de Flag : Th33ndMyFr13nD

Conclusion

Nous voilà donc à la fin de ce CTF, mais une question reste en suspens…
Où est donc Raoul Reidid ?