Microsoft: SesameOp malware abuses OpenAI Assistants API in attacks

Le Malware SesameOp Exploite l’API Assistants d’OpenAI pour des Attaques Clandestines

Une nouvelle menace de cybersécurité, nommée SesameOp, a été découverte par des chercheurs de Microsoft. Ce logiciel malveillant utilise l’API Assistants d’OpenAI comme canal de commande et de contrôle (C2) discret, permettant aux acteurs de la menace de maintenir un accès persistant aux environnements compromis et de gérer à distance les appareils infectés pendant plusieurs mois. Au lieu d’utiliser des infrastructures malveillantes dédiées, ce malware tire parti de services cloud légitimes pour opérer de manière furtive.

Le fonctionnement de SesameOp repose sur l’API Assistants d’OpenAI pour stocker et relayer des commandes compressées et chiffrées. Ces commandes sont ensuite déchiffrées et exécutées sur les systèmes infectés. Les données collectées lors des attaques sont chiffrées de manière similaire avant d’être renvoyées via le même canal API. La chaîne d’attaque implique un chargeur obfusqué et un backdoor .NET injecté dans des utilitaires Microsoft Visual Studio, établissant la persistance via des web shells internes et des processus malveillants stratégiquement placés.

Il est important de noter que SesameOp n’exploite pas de vulnérabilité spécifique à la plateforme OpenAI, mais détourne les fonctionnalités de l’API Assistants, qui est prévue pour être dépréciée en août 2026. Une collaboration entre Microsoft et OpenAI a permis d’identifier et de désactiver le compte et la clé API utilisés par les attaquants.

Points Clés:

• Découverte d’un nouveau malware backdoor nommé SesameOp.
• Utilisation de l’API Assistants d’OpenAI comme canal C2 furtif.
• Permet un accès persistant et une gestion à distance des appareils compromis.
• Emploie des services cloud légitimes pour opérer discrètement.
• Les commandes et les données exfiltrées sont chiffrées et transmises via l’API.
• Le vecteur d’infection implique une injection dans des utilitaires Visual Studio.
• Établissement de la persistance par des web shells et processus malveillants.
• L’API OpenAI est mal utilisée, et non exploitée pour une vulnérabilité.

Vulnérabilités:

• Aucune vulnérabilité spécifique de la plateforme OpenAI n’est mentionnée dans l’article. Le malware abuse des fonctionnalités existantes de l’API Assistants.

Recommandations:

• Auditer les journaux de pare-feu.
• Activer la protection contre la falsification (tamper protection).
• Configurer la détection des points de terminaison en mode blocage.
• Surveiller les connexions non autorisées aux services externes.

Source