AI-Generated Malware

🔍 Contexte Publié le 15 octobre 2026 par Unit 42 (Palo Alto Networks), ce rapport documente une campagne d’intrusion baptisée CL-UNK-1211, active d’octobre 2025 à avril 2026. L’affiliation de ce cluster à un État-nation ou à la cybercriminalité n’a pas encore été déterminée. 🎯 Cibles et objectifs Les attaquants ont ciblé des entités gouvernementales et des infrastructures affiliées à des États, avec pour objectifs : L’exfiltration de boîtes mail gouvernementales pour accéder à des comptes de réseaux sociaux (Facebook, Instagram, Twitter, TikTok, LinkedIn) Le dump complet de bases de données sensibles Le maintien d’un accès persistant à long terme 🤖 Utilisation de l’IA pour la génération de payloads Les scripts malveillants contenaient des annotations conversationnelles et des commentaires de raisonnement étape par étape, caractéristiques d’une génération par LLM ou d’un agent IA automatisé. Les indicateurs incluent : en-têtes de section dans les scripts, usage intensif de commandes encodées en Base64, et transitions fluides entre PHP, JavaScript, Bash et Python. ...

Des chercheurs en sécurité ont identifié un package NPM malveillant sophistiqué généré par l’IA, ciblant les développeurs en tant que drain de portefeuille de cryptomonnaies. Le package, nommé @kodane/patch-manager, se fait passer pour un gestionnaire de cache de registre légitime mais inclut des fonctionnalités avancées pour voler des fonds de cryptomonnaies. Le malware procède à une infection en plusieurs étapes : installation via un script post-installation, établissement de la persistance à travers des processus en arrière-plan, connexion à un serveur C2 à l’adresse sweeper-monitor-production.up.railway.app, découverte de fichiers de portefeuille, et extraction des fonds vers une adresse Solana spécifique (B2XwbrGSXs3LAAcqFqKqGUug5TFA1Bug2NNGH3F3mWNK). ...