Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

AI Chatbot Recommendations Redirect Users to Cryptojacking Malware Sites

1 minute de lecture

Mis à jour :

Campagne de Cryptojacking via l’Empoisonnement des Chatbots IA

Une nouvelle campagne de cybercriminalité détourne les outils de recherche basés sur l’IA pour diffuser des logiciels malveillants. Les attaquants manipulent les recommandations des chatbots pour rediriger les utilisateurs vers des sites de téléchargement frauduleux imitant des utilitaires système légitimes (ex: HWMonitor, FurMark).

Points clés :

  • Stratégie : Utilisation du “SEO poisoning” étendu aux réponses d’IA pour cibler les utilisateurs possédant des GPU performants, plus rentables pour le minage de cryptomonnaies.
  • Mécanisme d’infection : Téléchargement d’un ZIP contenant un exécutable légitime associé à une DLL malveillante (sideloading).
  • Persistance et contrôle : Déploiement de ScreenConnect pour un accès à distance permanent, exécution de code malveillant via “process hollowing”, et installation de mineurs (gminer, lolMiner, SRBMiner-MULTI).
  • Évasion : Le malware surveille les processus de sécurité (Gestionnaire des tâches, Process Hacker) et les termine s’ils sont détectés, tout en réactivant les exclusions Microsoft Defender.
  • Vecteurs connexes : Les attaquants exploitent également des failles sur des équipements en périphérie de réseau et des relations de confiance avec des tiers pour infiltrer des environnements d’entreprise.

Vulnérabilités mentionnées :

  • CVE-2025-33073 : Utilisée dans une campagne distincte pour des attaques de type relay contre l’infrastructure Active Directory.

Recommandations :

  • Vérification systématique : Adopter une posture de « vérification délibérée ». Ne pas se fier aveuglément aux recommandations fournies par les IA ou aux logiciels provenant de sources tierces, même s’ils semblent légitimes.
  • Gestion des accès : Restreindre les privilèges sudo et auditer les accès accordés aux tiers et outils de gestion IT, qui constituent des vecteurs d’entrée privilégiés.
  • Surveillance : Surveiller les comportements anormaux des processus système et les tentatives de modification des exclusions antivirus.
  • Mise à jour : Maintenir les logiciels et équipements exposés (pare-feux, serveurs) à jour pour corriger les failles exploitables initialement.

Source

Vous pourriez aimer