ESET découvre PromptLock, le premier ransomware alimenté par l’IA
- ESET Research découvre PromptLock, un nouveau type de ransomware utilisant GenAI pour exécuter des attaques.
- Le malware exécute un modèle de langage IA accessible localement pour générer des scripts Lua malveillants en temps réel, compatibles avec Windows, Linux et macOS.
- PromptLock utilise un modèle de langage librement disponible accessible via une API, ce qui signifie que les scripts malveillants générés sont diffusés directement sur l’appareil infecté.
- Sur la base d’invites de texte prédéfinies, PromptLock détermine de manière autonome s’il faut exfiltrer ou crypter les données.
- Bien qu’ESET considère PromptLock comme une preuve de concept, la menace qu’il représente est bien réelle.
BRATISLAVA — 27 août 2025 — Les chercheurs d’ESET ont découvert un nouveau type de rançongiciel qui exploite l’intelligence artificielle générative (GenAI) pour exécuter des attaques. Baptisé PromptLock, ce logiciel malveillant exécute un modèle de langage IA accessible localement pour générer des scripts malveillants en temps réel. Lors de l’infection, l’IA décide de manière autonome quels fichiers rechercher, copier ou chiffrer, marquant ainsi un tournant potentiel dans le mode opératoire des cybercriminels.
« L’émergence d’outils comme PromptLock met en évidence un changement significatif dans le paysage des cybermenaces », a déclaré Anton Cherepanov, chercheur senior en logiciels malveillants chez ESET, qui a analysé le logiciel malveillant aux côtés de son collègue chercheur Peter Strýček.
PromptLock crée des scripts Lua compatibles avec toutes les plateformes, notamment Windows, Linux et macOS. Il analyse les fichiers locaux, leur contenu et, en fonction d’invites textuelles prédéfinies, détermine s’il faut exfiltrer ou chiffrer les données. Une fonction destructrice est déjà intégrée au code, mais elle reste inactive pour le moment.
Le rançongiciel utilise l’algorithme de chiffrement SPECK 128 bits et est codé en Golang. Des variantes précoces ont déjà été détectées sur la plateforme d’analyse de malwares VirusTotal. Bien qu’ESET considère PromptLock comme une preuve de concept, la menace qu’il représente est bien réelle.
« Grâce à l’IA, lancer des attaques sophistiquées est devenu considérablement plus facile, éliminant ainsi le recours à des équipes de développeurs qualifiés », a ajouté Cherepanov. « Un modèle d’IA bien configuré suffit désormais à créer des logiciels malveillants complexes et auto-adaptatifs. Correctement mises en œuvre, ces menaces pourraient considérablement compliquer la détection et compliquer considérablement le travail des cyberdéfenseurs. »
PromptLock utilise un modèle de langage librement accessible via une API, ce qui signifie que les scripts malveillants générés sont directement diffusés sur l’appareil infecté. L’invite inclut notamment une adresse Bitcoin apparemment liée au créateur de Bitcoin, Satoshi Nakamoto.
ESET a publié des informations techniques afin de sensibiliser la communauté de la cybersécurité. Le malware a été classé sous le nom de Filecoder.PromptLock.A.