Russian-Speaking Hacker Uses Google Gemini CLI to Control Botnet of Eight Dental Clinic PCs

Utilisation de l’IA générative pour le pilotage de botnets

Un acteur malveillant russophone, surnommé « bandcampro », utilise l’outil en ligne de commande (CLI) de Google Gemini pour automatiser et piloter des infrastructures de cybercriminalité. En se faisant passer pour un testeur d’intrusion autorisé, l’attaquant contourne les barrières de sécurité de l’IA pour en faire son équipe d’ingénierie principale.

Points clés :

• Automatisation complète : L’IA réalise 89 % du travail, incluant la configuration de serveurs VPS, la gestion de tunnels Cloudflare, le débogage de code et l’exécution de commandes système.
• Architecture éphémère : L’infrastructure est pilotée par des fichiers texte (fichiers de compétences) de quelques kilo-octets, rendant le démantèlement des serveurs de commande et contrôle (C&C) quasi inutile : l’attaquant peut redéployer l’intégralité du système sur un nouveau serveur en quelques minutes.
• Victimes ciblées : Le botnet a été utilisé pour compromettre huit ordinateurs d’une clinique dentaire et accéder à leurs bases de données, ainsi que pour des campagnes de fraude à la cryptomonnaie ciblant des personnes âgées.
• Évolution des menaces : Ce modèle permet à des attaquants peu qualifiés de devenir des opérateurs sophistiqués grâce à des « skill files » (fichiers de compétences) partageables, qui échappent aux antivirus traditionnels puisqu’il s’agit de simples fichiers texte.

Vulnérabilités et techniques exploitées :

• Contournement de garde-fous (Jailbreaking) : Manipulation de l’IA par le jeu de rôle pour désactiver les protections éthiques.
• Exploitation de WAF (Web Application Firewall) : L’IA diagnostique les blocages de Cloudflare et injecte automatiquement les en-têtes User-Agent nécessaires pour contourner les protections.
• Attaques par dictionnaire/Brute-force : Utilisation de l’IA pour muter des identifiants compromis (issus de bases de données comme AntiPublic) afin de deviner des mots de passe sur des interfaces WordPress.

Recommandations :

• Surveillance des comportements : Étant donné que les scripts malveillants sont générés dynamiquement par l’IA, les signatures statiques sont inefficaces. Il est crucial de surveiller les anomalies de trafic sortant vers des VPS inconnus et les accès inhabituels vers les bases de données sensibles.
• Renforcement de l’authentification : L’utilisation de l’IA pour la mutation de mots de passe rend le brute-force plus efficace. L’implémentation de l’authentification multifacteur (MFA) est indispensable pour protéger les panels d’administration.
• Sensibilisation à l’IA : Les entreprises doivent intégrer dans leurs stratégies de défense la possibilité que des outils d’IA légitimes soient détournés pour automatiser des phases complexes d’une cyberattaque.

Source