Le groupe de renseignement sur les menaces de Google (GTIG) a identifié une nouvelle tendance préoccupante : l'émergence de familles de logiciels malveillants alimentés par l'IA qui exploitent les grands modèles linguistiques (LLM) pour générer et dissimuler dynamiquement du code malveillant. Cela marque une escalade significative des cybermenaces, certains de ces outils sophistiqués étant déjà déployés dans des attaques actives, ciblant particulièrement les actifs de cryptomonnaies.
Points clés à retenir
-
Cinq familles distinctes de logiciels malveillants ont été identifiées qui interrogent des LLM comme Gemini et Qwen2.5-Coder pendant leur exécution pour modifier ou créer du code.
-
Un groupe lié à la Corée du Nord, UNC1069, a été observé utilisant l'IA pour sonder les portefeuilles de cryptomonnaies et créer des scripts de phishing sophistiqués.
-
Google a pris des mesures en désactivant les comptes associés et en mettant en œuvre des protections renforcées pour empêcher toute utilisation abusive de ses modèles d'IA.
L'essor des logiciels malveillants activés par l'IA
Le dernier rapport de Google met en évidence un changement dans les tactiques des cybercriminels, allant au-delà des logiciels malveillants traditionnels codés en dur. Les familles de logiciels malveillants nouvellement identifiées utilisent les LLM dans une approche de « création de code juste à temps ». Cela leur permet de générer dynamiquement des scripts malveillants, d'obscurcir leur code pour échapper à la détection par les logiciels de sécurité et de créer des fonctions malveillantes à la demande. Cette nature adaptative rend les logiciels malveillants beaucoup plus difficiles à détecter et à atténuer à l'aide d'outils de sécurité conventionnels.
Familles de logiciels malveillants notables et leurs tactiques
Deux exemples marquants de cette nouvelle race de logiciels malveillants sont PROMPTFLUX et PROMPTSTEAL. PROMPTFLUX emploie un module « Robot pensant » qui interroge l'API de Gemini chaque heure pour réécrire son code VBScript, dans le but de créer un script évolutif et métamorphique. PROMPTSTEAL, lié au groupe APT28 de Russie, utilise le modèle Qwen pour générer des commandes Windows à la demande, permettant des opérations personnalisées sans pré-programmation.
Implication de la Corée du Nord dans le vol de cryptomonnaies
Le rapport mentionne spécifiquement le groupe d'acteurs de menace nord-coréen UNC1069 (également connu sous le nom de Masan). Ce groupe a été observé utilisant abusivement Gemini pour des campagnes de vol de cryptomonnaies. Leurs activités comprennent la recherche de données de portefeuille de cryptomonnaies, la génération de scripts pour accéder au stockage crypté et la composition de contenu de phishing multilingue destiné aux employés d'échanges de cryptomonnaies. Ces efforts semblent faire partie d'une stratégie plus large visant à voler des actifs numériques.
Réponse de Google et implications futures
En réponse à ces conclusions, Google a désactivé les comptes liés aux activités malveillantes identifiées et a renforcé les protections autour de l'accès aux modèles. Cela comprend des filtres de prompt affinés et une surveillance accrue de l'accès à l'API. L'émergence de logiciels malveillants alimentés par l'IA présente une nouvelle surface d'attaque, permettant potentiellement aux attaquants de créer des leurres de phishing et des scripts d'exfiltration très crédibles avec une précision sans précédent. Cette tendance suggère une sophistication croissante de la cybercriminalité, les outils d'IA devenant de plus en plus intégrés aux opérations malveillantes.
Sources
-
Google Threat Report Links AI-powered Malware to DPRK Crypto Theft, Decrypt.
-
Google warns of AI-powered malware targeting crypto users, Invezz.
-
Google issues security warning for millions — AI-powered malware is here, Tom's Guide.
-
Google warns of new AI-powered malware families deployed in the wild, BleepingComputer.
-
Google flags 5 AI-powered malware families linked to DPRK crypto theft, Crypto News.
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.