Source et contexte — Google Threat Intelligence Group (GTIG), novembre 2025: ce rapport met à jour l’analyse de janvier 2025 sur la « mauvaise utilisation des IA génératives » et documente l’intégration active d’IA dans des opérations réelles, depuis la reconnaissance jusqu’à l’exfiltration.

• Points clés: GTIG rapporte les premiers cas de malwares utilisant des LLM en cours d’exécution (« just-in-time »), l’usage de prétextes de type ingénierie sociale pour contourner les garde-fous, la montée d’un marché cybercriminel d’outils IA multifonctions, et l’emploi d’IA par des acteurs étatiques (Chine, Iran, Corée du Nord, Russie) sur l’ensemble du cycle d’attaque.

• Familles de malwares et capacités observées:

  • FRUITSHELL (PowerShell) — Reverse shell avec invites intégrées pour tromper des systèmes de détection alimentés par LLM; observé en opérations.
  • PROMPTFLUX (VBScript) — Dropper expérimental s’appuyant sur l’API Gemini pour se réobfusquer et se régénérer, visant une évasion dynamique et une persistance (copie sur supports amovibles/partages réseau).
  • PROMPTLOCK (Go) — Ransomware expérimental générant à la volée des scripts Lua via LLM (reconnaissance, exfiltration, chiffrement Windows/Linux).
  • PROMPTSTEAL (Python) — Data miner observé en opérations (APT28/FROZENLAKE) qui génère des commandes via Qwen2.5-Coder-32B-Instruct (API Hugging Face) pour collecter infos système et documents.
  • QUIETVAULT (JavaScript) — Credential stealer (GitHub/NPM tokens) exfiltrant via dépôt GitHub public et utilisant des outils CLI IA locaux pour rechercher d’autres secrets.

• Contournement des garde-fous et cas d’usage par acteurs étatiques:

  • Prétextes « CTF/étudiant/chercheur » pour obtenir des réponses interdites de Gemini. Un acteur Chine a réutilisé ce prétexte pour leurrage, exploitation et web shells.
  • TEMP.Zagros (Iran) a utilisé Gemini pour développer du malware custom; une erreur d’OPSEC a exposé domaine C2 et clé de chiffrement, facilitant la perturbation de la campagne.
  • APT28 (Russie) a déployé PROMPTSTEAL en Ukraine, première observation de requêtes LLM en opérations pour générer des commandes.
  • APT41 (PRC) a sollicité Gemini pour développement C++/Go et obfuscation (C2 « OSSTUN »).
  • UNC1069 (DPRK) a généré des leurres crypto multilingues et tenté de développer du code de vol de crypto; deepfakes et faux « Zoom SDK » pour livrer le backdoor BIGMACHO.
  • UNC4899 (DPRK) a recherché exploits et amélioration d’outils, visant bords réseau et navigateurs.
  • APT42 (Iran) a tenté un « Data Processing Agent » convertissant requêtes en SQL pour interroger des données personnelles.

• Marché cybercriminel IA en 2025: maturation d’offres multifonctions (phishing, génération de malware, recherche de vulnérabilités, deepfakes) avec modèles économiques freemium/abonnements; la plupart des outils ciblent le phishing.

• Réponses et mitigations mentionnées: désactivation d’actifs et comptes malveillants, durcissement des classifieurs et du modèle Gemini, amélioration continue des sauvegardes et évaluations (SAIF, red teaming automatique, Big Sleep, CodeMender). Le rapport est une analyse de menace et une mise à jour de tendances, visant à informer les défenseurs.

TTPs (extraits) 🛠️

  • Utilisation de LLM en cours d’exécution pour générer des commandes/scripts et obfusquer/réécrire le code (metamorphisme « just-in-time »).
  • Vol et usage de tokens API (Hugging Face), CLI IA locaux, et API Gemini avec modèle « gemini-1.5-flash-latest ».
  • Exfiltration via GitHub (création de repo public), C2 custom (OSSTUN), et backdoor (BIGMACHO).
  • Leurres: deepfakes images/vidéos, faux « Zoom SDK », contenus de phishing multilingues.
  • Cibles et surfaces: Windows/Linux, cloud/AWS (EC2), vSphere/Kubernetes, macOS, serveurs email (Roundcube/Zimbra), BLE.

IOCs / artefacts cités (à fins de suivi)

  • Familles/outils: FRUITSHELL, PROMPTFLUX, PROMPTLOCK, PROMPTSTEAL, QUIETVAULT, BIGMACHO, OSSTUN.
  • Acteurs: APT28/FROZENLAKE, TEMP.Zagros (MUDDYCOAST/Muddy Water), APT41, UNC1069 (MASAN), UNC4899 (PUKCHONG), APT42.
  • Modèles/Services: Gemini API (« gemini-1.5-flash-latest »), Hugging Face API, Qwen2.5-Coder-32B-Instruct.
  • Indices d’implémentation: chemin « %TEMP%\thinking_robot_log.txt », noms de leurres « crypted_ScreenRec_webinstall », faux « Zoom SDK ».

Conclusion: document de type analyse de menace décrivant l’évolution vers des malwares pilotés par IA, l’industrialisation des outils IA illicites et l’usage transversal de l’IA par des acteurs étatiques et criminels.

🧠 TTPs et IOCs détectés

TTP

Utilisation de LLM en cours d’exécution pour générer des commandes/scripts et obfusquer/réécrire le code (metamorphisme « just-in-time »); Vol et usage de tokens API (Hugging Face), CLI IA locaux, et API Gemini avec modèle « gemini-1.5-flash-latest »; Exfiltration via GitHub (création de repo public), C2 custom (OSSTUN), et backdoor (BIGMACHO); Leurres: deepfakes images/vidéos, faux « Zoom SDK », contenus de phishing multilingues; Cibles et surfaces: Windows/Linux, cloud/AWS (EC2), vSphere/Kubernetes, macOS, serveurs email (Roundcube/Zimbra), BLE.

IOC

Familles/outils: FRUITSHELL, PROMPTFLUX, PROMPTLOCK, PROMPTSTEAL, QUIETVAULT, BIGMACHO, OSSTUN; Acteurs: APT28/FROZENLAKE, TEMP.Zagros (MUDDYCOAST/Muddy Water), APT41, UNC1069 (MASAN), UNC4899 (PUKCHONG), APT42; Modèles/Services: Gemini API (« gemini-1.5-flash-latest »), Hugging Face API, Qwen2.5-Coder-32B-Instruct; Indices d’implémentation: chemin « %TEMP%\thinking_robot_log.txt », noms de leurres « crypted_ScreenRec_webinstall », faux « Zoom SDK ».

🔗 Source originale : https://cloud.google.com/blog/topics/threat-intelligence/threat-actor-usage-of-ai-tools?hl=en