Google met en garde contre l'utilisation de l'IA par les logiciels malveillants lors de leur exécution pour muter et collecter des données.
infohightech ·
Le groupe de renseignement sur les menaces de Google (GTIG) a constaté plusieurs nouvelles façons intéressantes dont les logiciels malveillants exploitent l'intelligence artificielle, allant au-delà de son utilisation pour des gains de productivité.
Depuis quelque temps, les cybercriminels et les acteurs de menaces parrainés par des États exploitent l'IA pour développer et améliorer les logiciels malveillants, planifier des attaques et créer des leurres d'ingénierie sociale.
Le secteur de la cybersécurité a également observé et démontré le potentiel des logiciels malveillants à utiliser l'IA lors de leur exécution.
Par exemple, le ransomware PromptLock , qui a fait les gros titres il y a quelques mois en raison de son utilisation de l'IA pour générer des scripts à la volée et effectuer diverses actions sur des systèmes compromis, est une preuve de concept expérimentale développée par des chercheurs.
Cependant, les chercheurs de Google ont découvert plusieurs autres logiciels malveillants utilisant l'IA lors d'une attaque . Si certains ont été qualifiés de « menaces expérimentales », comme PromptLock, d'autres ont été utilisés en conditions réelles.
Un autre logiciel malveillant expérimental basé sur l'IA, repéré par Google, est PromptFlux, un programme d'installation qui peut se « régénérer » en réécrivant son code et en enregistrant la nouvelle version dans le dossier Startup pour assurer sa persistance.
« PromptFlux est écrit en VBScript et interagit avec l'API de Gemini pour demander des techniques spécifiques d'obfuscation et d'évasion VBScript afin de faciliter l'auto-modification "juste à temps", susceptible d'échapper à la détection statique basée sur la signature », ont expliqué les chercheurs du GTIG.
Parmi les logiciels malveillants rencontrés en circulation, on trouve FruitShell, un shell inversé écrit en PowerShell qui permet l'exécution de commandes arbitraires sur les systèmes compromis. Ce logiciel malveillant intègre des invites d'IA codées en dur, conçues pour contourner la détection et l'analyse par les solutions de sécurité basées sur l'IA.
Une autre famille de logiciels malveillants mise en évidence par GTIG est PromptSteal, un outil d'exploration de données basé sur Python qui exploite l'API Hugging Face pour interroger le LLM Qwen2.5-Coder-32B-Instruct afin de générer des commandes Windows d'une seule ligne pour collecter des données système et des documents à partir de dossiers spécifiques.
Le dernier exemple cité par Google est QuietVault, un voleur d'identifiants développé en JavaScript et conçu pour collecter les jetons NPM et GitHub. Ce logiciel malveillant utilise une interface de commande et un système d'aide à la communication par intelligence artificielle installés sur la machine infectée afin de rechercher d'autres données sensibles sur le système.
« Bien que ce phénomène soit encore naissant, il représente une avancée significative vers des logiciels malveillants plus autonomes et adaptatifs », ont déclaré les chercheurs du GTIG, ajoutant plus tard : « Nous commençons seulement à observer ce type d'activité, mais nous nous attendons à ce qu'elle augmente à l'avenir. »
Le rapport de Google décrit également d'autres aspects liés à l'utilisation de l'IA par les acteurs malveillants. Le géant technologique a constaté que ces derniers utilisent des techniques d'ingénierie sociale pour contourner les garde-fous de l'IA.
L'entreprise met également en garde contre la maturation du marché noir des outils d'IA. Ses chercheurs ont constaté l'existence d'outils multifonctionnels conçus pour le développement de logiciels malveillants, le phishing et la recherche de vulnérabilités.
« Bien que les adversaires tentent indéniablement d'utiliser les plateformes d'IA grand public, les garde-fous les ont poussés vers des modèles disponibles dans le milieu criminel », explique Billy Leonard, responsable technique du groupe Google Threat Intelligence. « Ces outils sont sans restriction et peuvent offrir un avantage considérable aux moins avancés. Plusieurs sont déjà disponibles et nous pensons qu'ils faciliteront l'accès à ces technologies pour de nombreux criminels. »
En outre, des acteurs étatiques liés à la Chine, à l'Iran et à la Corée du Nord ont continué à utiliser Gemini de Google pour améliorer la reconnaissance, l'exfiltration de données, les systèmes de commandement et de contrôle, ainsi que d'autres composantes de leurs opérations.
https://cloud.google.com/blog/topics/threat-intelligence/threat-actor-usage-of-ai-tools