📅 Source et contexte : Rapport publié le 18 août 2026 par Gambit Security (Eyal Sela et Nir Varon). L’article présente trois cas d’usage réel de l’IA dans des intrusions cybercriminelles, documentés à partir de données récupérées sur les infrastructures des attaquants.

🎯 Cas 1 – Affilié ransomware suspecté « The Gentlemen » utilisant Claude Code

Fin juin 2026, un opérateur ransomware a utilisé Claude Sonnet 4.6 (via Claude Code) lors d’intrusions dans six organisations : une entreprise d’énergie en Australie, une société de services financiers à Maurice, une entreprise agroalimentaire en Afrique du Sud, un fabricant en Thaïlande, une société IT en Malaisie, et plusieurs entreprises aux États-Unis.

Le playbook d’intrusion documenté comprend :

  • Accès admin à des appliances VPN FortiGate via des credentials préalablement obtenus
  • Attaque LDAP pass-back pour voler les credentials du compte de service LDAP
  • Création d’un backdoor VPN (utilisateur test avec mot de passe fixe)
  • Reconnaissance et mouvement latéral via crackmapexec/nxc
  • Analyse des sauvegardes et bases de données pour identifier les actifs critiques
  • Exfiltration de dumps SQL compressés

Un incident notable : Claude a provoqué une panne du pare-feu d’une entreprise d’énergie en tentant une restauration complète de configuration VDOM. L’attaquant a contourné les refus du modèle en prétextant un test de pénétration autorisé.

🌐 Cas 2 – Zerofot : collecte massive de credentials et mouvement latéral cloud

Un opérateur sinophone a développé auto_scan, un scanner-harvester construit avec OpenAI Codex et Claude Code, qui interroge FOFA et des scans masscan pour identifier des fichiers sensibles exposés sur internet. L’outil valide les clés collectées auprès de fournisseurs AI (Anthropic, OpenAI, Google Gemini, AWS Bedrock, Azure OpenAI, etc.) et de services SaaS (AWS, GitHub, Stripe, Slack, Docker Hub, etc.).

Entre le 5 avril et le 23 mai 2026, l’opération a collecté 2 975 clés validées depuis 1 742 hôtes victimes :

  • SSH : 661 clés
  • AWS : 635 clés (214 comptes)
  • Google Gemini : 448
  • OpenAI : 254
  • GitHub : 205
  • Anthropic : 176
  • Stripe : 137
  • Groq : 108

Les clés AI valides alimentaient llde[.]tech, une passerelle de revente d’accès aux modèles. Claude Code était configuré pour router via cette même passerelle (via ANTHROPIC_BASE_URL). Des implants Sliver C2 étaient déployés sur des hôtes compromis pour la post-exploitation.

⛏️ Cas 3 – RAGE : framework Python de déploiement de cryptomineurs

RAGE est un framework Python personnalisé, généré avec l’aide de l’IA, ciblant des services exposés (Redis, Elasticsearch, Docker, Tomcat, Jenkins, Hadoop YARN, Confluence, Supervisord) pour déployer XMRig. Le dashboard opérateur intègre un orchestrateur IA basé sur DeepSeek.

Lors d’un cas documenté, l’acteur a récupéré des credentials AWS depuis un Redis exposé appartenant à un fournisseur SaaS, puis généré aws_deep_hunter.py pour énumérer les identités IAM, créer de nouveaux access keys, et collecter des secrets depuis S3, Secrets Manager, SSM, Lambda, ECS, RDS et DynamoDB. Le script a énuméré 8 utilisateurs IAM (dont 4 avec AdministratorAccess) et 196 buckets S3.

🔍 Modes de défaillance de l’IA documentés

  • Refus du modèle contourné par prétexte de pentest autorisé
  • Panne de pare-feu causée par une restauration de config VDOM incorrecte
  • Exposition dans les logs victimes (description de la reconnaissance, nommage du framework d’attaque)
  • Sessions STS avec noms révélateurs : recon (Zerofot), rage-session (RAGE)

📄 Type d’article : Publication de recherche CTI documentant trois cas réels d’usage offensif de l’IA générative, avec IoCs, TTPs et analyse des outils utilisés.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • The Gentlemen (cybercriminal) — orkl.eu · Malpedia
  • Zerofot (cybercriminal) —
  • RAGE (cybercriminal) —

TTP

  • T1078 — Valid Accounts (Initial Access)
  • T1133 — External Remote Services (Initial Access)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1557 — Adversary-in-the-Middle (Credential Access)
  • T1003 — OS Credential Dumping (Credential Access)
  • T1552 — Unsecured Credentials (Credential Access)
  • T1087 — Account Discovery (Discovery)
  • T1018 — Remote System Discovery (Discovery)
  • T1083 — File and Directory Discovery (Discovery)
  • T1135 — Network Share Discovery (Discovery)
  • T1021.001 — Remote Services: Remote Desktop Protocol (Lateral Movement)
  • T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
  • T1098 — Account Manipulation (Persistence)
  • T1136 — Create Account (Persistence)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1110 — Brute Force (Credential Access)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1530 — Data from Cloud Storage (Collection)
  • T1537 — Transfer Data to Cloud Account (Exfiltration)
  • T1496 — Resource Hijacking (Impact)
  • T1580 — Cloud Infrastructure Discovery (Discovery)
  • T1552.005 — Unsecured Credentials: Cloud Instance Metadata API (Credential Access)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)
  • T1046 — Network Service Discovery (Discovery)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 20 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Claude Code (tool)
  • OpenAI Codex (tool)
  • oh-my-claudecode (OMC) (framework)
  • Sliver (framework)
  • crackmapexec (tool)
  • nxc (tool)
  • XMRig (other)
  • RAGE (framework)
  • auto_scan (tool)
  • deep_lateral2.py (tool)
  • jenkins_scanner.py (tool)
  • aws_deep_hunter.py (tool)
  • masscan (tool)
  • DeepSeek (tool)

🟢 Indice de vérification factuelle : 72/100 (haute)

  • ⬜ gambit.security — source non référencée (0pts)
  • ✅ 20566 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 25 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/7 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 25 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : The Gentlemen, Zerofot, RAGE (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 38.110.228.33 (ip) → VT (7/91 détections)
  • 172.245.185.195 (ip) → VT (16/91 détections) + ThreatFox (Sliver)

🔗 Source originale : https://gambit.security/blog-posts/ai-across-the-intrusion-lifecycle