Introduction

Bienvenue dans ce premier writeup consacré au MidnightCTF 2026 ! Il a eu lieu à distance du 13 mars 2026 à 21h jusqu'au 15 mars 2026 à 21h. C’est un CTF auquel j’ai participé au sein d’une équipe de 5. Lors de ce CTF, je me suis concentré sur l’OSINT, mon domaine de prédilection.

Ce premier challenge consiste à retrouver le lieu montré sur la photo. Une femme nommée Lin Xiayu y a été retrouvée morte.

Analyse Initiale

Mon premier réflexe est d’utiliser des outils de recherche par image inversée tel que tineye, yandex images et google images. Mais nous avons une information importante, le lieu sur l’image se situe en Chine, je vais donc utiliser baidu images en plus des autres outils de recherche.

Cependant, les recherches ne sont pas concluantes :

C’est le même résultat pour les autres outils.

Mais l’image n’est pas notre seule piste ! Nous avons un pseudo : LinXiayu35170.

Si l’on analyse le pseudo, un code postal précède le nom de la femme : c’est celui de Bruz, une ville proche de Rennes. J’émet donc l’hypothèse que Lin faisait ses études à Rennes. J’ai ensuite recherché si la ville de Rennes avait des liens avec la Chine, et j’ai appris qu’elle entretient un jumelage avec la ville de Jinan. Peut-être que Lin habite à Jinan, mais je ne peux pas prouver cette hypothèse. Je garde donc cette information de coté pour rechercher les plateformes de réseaux sociaux où Lin est inscrite sous le nom : « LinXiayu35170 ».

Pour ce faire, j’utilise l’outil Whatsmyname :

Nous avons donc quatre résultats. Je commence par me rendre sur le compte Twitter de Lin. C’est sûrement sur ce réseau social où elle était active.

On remarque que le compte n’a qu’un seul follower. On note également que la photo de profil est générée par thispersondoesnotexist et que le compte est tout récent, caractéristiques courantes dans les challenges d’OSINT. Cela me permet donc d’en déduire que ce profil est bien celui de Lin.

Lin a posté trois fois :

Je remarque qu’il y a un commentaire sur un de ces tweets :

Rien d’étrange ici, cependant, l’utilisateur nommé Lucas Juillet est le seul follower de Lin. Je suppose donc qu’il la connaît ou qu’il s’intéresse à elle (à en juger par son commentaire étrange).

Là encore, on remarque les mêmes caractéristiques que pour le profil de Lin : compte récent, pas d’activité, un pseudo lié à la cybersécurité et une photo très utilisée dans le monde de l’OSINT : Mr robot.

Pas de doute, Lucas Juillet a un rôle dans ce challenge. Je décide donc de recherche le pseudo heaprunner sur Whatsmyname.

Whatsmyname renvoie trois résultats. J’oriente mes recherches vers le compte github.

Ce compte est lui aussi très récent, et il a contribué à un seul projet : pattern-analysis

Les membres de mon équipe ont ensuite remarqué que dans le fichier pattern_model.py contient une information cachée à la ligne 9 :

Lulu kicourt est également un pseudonyme.

Whatsmyname ne m’a pas renvoyé de résultats intéressants, je décide donc d’utiliser un autre outil pour obtenir plus d’informations, Osint Industries.

Je découvre que lulu kicourt a un compte sur Strava :

Je me rends donc sur son profil : https://www.strava.com/athletes/206911898

On y retrouve un trajet partagé :

Une simple recherche sur Google maps permet de trouver que l’arrivée est au Zhaoyuan park.

Quand on regarde les photos partagées sur Google maps, on retrouve une photo étrangement similaire à celle présente dans l’énoncé :

On a bien retrouvé le parc dans lequel le corps de Lin a été trouvé !

Flag