« Transparent Tribe », également référencé sous le nom APT36 (Advanced Persistent Threat, menace persistante avancée), est un acteur de menace associé à des opérations de cyberespionnage visant notamment des entités gouvernementales indiennes et des missions diplomatiques. Des chercheurs de Bitdefender ont analysé un large portefeuille d’échantillons associés à APT36, ce qui leur a permis de comparer des dizaines d’implants et d’identifier une logique de production récurrente. Le constat converge vers un modèle inédit, que le spécialiste de la cybersécurité nomme « vibeware » : des implants générés par IA, c’est-à-dire des programmes malveillants déployés sur les machines ciblées, produits en série, parfois inachevés dans leur fonctionnement réel, mais suffisamment opérationnels pour être déployés à grande échelle.
L’examen de la flotte d’implants révèle ainsi des lacunes caractéristiques de la génération de code par IA : un binaire (fichier exécutable par une machine) développé en langage Go et destiné au vol d’identifiants de navigateur contient un espace réservé vide à l’endroit où aurait dû figurer l’URL de commande et de contrôle (adresse du serveur utilisé pour piloter l’outil et récupérer les données), rendant l’outil incapable d’exfiltrer la moindre donnée. Des erreurs similaires se retrouvent dans d’autres composants, dont la logique s’effondre dès que la complexité augmente. Ce type d’erreur caractérise un code syntaxiquement correct, mais logiquement inachevé.
Les chercheurs de Bitdefender ont également identifié des métadonnées au sein des projets pointant directement vers l’utilisation d’éditeurs de code intégrant l’IA. Les binaires contiennent fréquemment des emojis Unicode dans leurs chaînes de caractères. Selon Bitdefender, le groupe APT36 maintient un rythme de production d’un malware par jour. « La réalité n’est pas une percée dans la sophistication des codes malveillants, mais une optimisation du médiocre », résume le rapport Bitdefender.
L’analyse des échantillons révèle une architecture récurrente : chaque implant combine une charge utile malveillante (partie du programme qui réalise concrètement l’action), inspirée de code déjà publié, et un canal de commande et contrôle s’appuyant sur des services de confiance. En ce qui concerne le code malveillant, les chercheurs ont retrouvé, pour chaque échantillon examiné, la source ayant servi de base. Ce code fait ensuite l’objet d’une réécriture dans des langages de programmation peu répandus comme Nim, Zig, Crystal, Rust ou Go. « Le corps (‘body’ en anglais) malveillant s’appuie sur du code déjà présent sur GitHub, réécrit dans des langages exotiques », explique Martin Zugec, Technical Solutions Director chez Bitdefender. Chaque langage donne au malware une apparence différente, ce qui peut compliquer sa détection.
Cette diversification des langages répond à une logique précise. La plupart des moteurs de détection reposent en effet sur des signatures et des comportements calibrés pour des langages courants comme C# ou C++. En utilisant des langages moins courants, les attaquants modifient le profil des binaires et réduisent l’efficacité de certains repères de détection, en particulier lorsque les contrôles restent très dépendants des signatures ou des runtimes (environnements nécessaires à l’exécution d’un programme) habituels. Certains de ces langages, notamment Rust, Go et Zig, facilitent aussi le développement de variantes capables de viser plusieurs systèmes d’exploitation à partir d’une base de code proche.
Le second bloc architectural concerne les canaux de commande et de contrôle. APT36 s’appuie sur des plateformes largement déployées en entreprise comme Slack, Discord, Google Sheets, Supabase ou Azure Front Door, pour acheminer ses communications malveillantes dans un trafic considéré comme légitime. À titre d’exemple, Google Sheets sert à stocker des instructions dynamiques, Supabase et Firebase à conserver des métadonnées et des identifiants, tandis que Slack et Discord permettent de transmettre des instructions en temps réel. Cette pratique, désignée sous le terme « Living Off Trusted Services (LOTS) », trouve dans le vibeware une justification technique nouvelle.
« Ces services disposent d’une documentation remarquable pour les développeurs, avec des API (interfaces de programmation) bien documentées et de nombreux exemples de code. Il s’agit donc d’environnements naturellement lisibles et exploitables par un LLM (Large Language Model). C’est une évolution logique pour les attaquants, mais nous n’avions jamais vu cela documenté de cette façon, en analysant autant d’échantillons distincts », souligne Martin Zugec.
Le rapport Bitdefender désigne l’approche d’APT36 sous le terme de Distributed Denial of Detection (DDoD : déni distribué de détection) : l’objectif n’est pas de contourner les défenses par une sophistication technique, mais d’épuiser les équipes de sécurité par un volume automatisé de variantes. Plusieurs implants, écrits dans des langages différents, coexistent délibérément sur une même machine cible ; si l’un se trouve neutralisé, les autres demeurent actifs. bitdefender
« Le vibeware dégrade la sophistication habituelle, au profit d’un volume de variantes que les attaquants génèrent très rapidement à partir de code existant. C’est précisément pour cela que nous avons créé ce terme », indique Martin Zugec.
Il importe toutefois de ne pas confondre industrialisation de la production et automatisation des opérations : si les outils se génèrent rapidement par IA, les opérations de compromission elles-mêmes demeurent une démarche manuelle, conduite par un opérateur humain. Martin Zugec résume l’enjeu en une formule directe : « L‘IA n’a pas besoin d’être sophistiquée pour être dangereuse ».
Face à cette menace hybride, Bitdefender formule trois axes de réponse. Le premier consiste à privilégier les détections fondées sur le comportement des processus plutôt que sur les signatures de fichiers, en surveillant notamment l’exécution de binaires non signés dans des répertoires accessibles en écriture.
Le deuxième axe porte sur l’audit et le contrôle des services cloud de confiance : toute connexion sortante persistante vers Discord, Slack ou Google Sheets, initiée par un binaire non vérifié, doit être traitée comme un indicateur de compromission potentiel.
Le troisième axe recommande de transformer l’environnement réseau en terrain hostile pour les attaquants, par la réduction dynamique de la surface d’attaque et le déploiement de capacités EDR/XDR matures, outils capables de surveiller les appareils et de détecter des comportements suspects, afin de contraindre l’opérateur humain à révéler sa présence lors des phases de déplacement latéral.
The post Vibeware : l’IA accélère la production de malwares jetables appeared first on INCYBER NEWS.