Des attaquants détournent des fonctions de partage d’IA fiables pour diffuser des malwares

Des acteurs malveillants exploitent des contenus publics hébergés par de grands services d’IA afin de distribuer des malwares sous couvert de domaines légitimes et d’identités visuelles reconnaissables.

Au cours d’une période d’observation de neuf mois, le Huntress Security Operations Center a identifié des campagnes détournant Claude Artifacts, les pages Claude partagées ainsi que les conversations publiques de ChatGPT et de Grok. Plutôt que de compromettre les fournisseurs ou de manipuler leurs modèles sous-jacents, les attaquants ont utilisé les fonctions standard de publication et de partage comme couche de diffusion.

Les campagnes ont ciblé des utilisateurs de Windows et de macOS et déployé SectopRAT, MacSync et AMOS. Certaines pages malveillantes ont disparu en quelques heures ou quelques jours, mais l’infrastructure associée de redirection et de diffusion des malwares est restée active après la suppression des contenus hébergés par les services d’IA.

Les domaines légitimes de services d’IA créent une frontière de confiance dangereuse

Les attaques reposent sur un avantage simple : les utilisateurs sont plus susceptibles de faire confiance aux instructions et aux téléchargements affichés sur claude.ai, chatgpt.com ou grok.com qu’à des contenus hébergés sur un domaine inconnu.

Plusieurs fonctions légitimes des plateformes ont rendu cette approche possible :

• Claude Artifacts peut afficher du contenu généré dans un volet d’aperçu et le publier via un lien public.
• Les pages claude.ai/share exposent des conversations partagées qui peuvent être diffusées sur les réseaux sociaux, les forums, les publicités et les résultats de recherche.
• Les conversations partagées de ChatGPT et de Grok peuvent être indexées et classées par les moteurs de recherche, notamment pour les requêtes d’assistance technique.

Ces services fournissent le domaine, la connexion HTTPS, les éléments d’interface et l’identité de la marque. Les attaquants fournissent le contenu trompeur.

Cette distinction est importante. Aucune intrusion dans les plateformes d’IA elles-mêmes n’a été signalée, et rien n’indique que les attaquants aient contourné les contrôles de sécurité fondamentaux des modèles ou des comptes. Ils ont plutôt transformé des fonctionnalités prévues à cet effet en vecteur d’ingénierie sociale.

Aucune version logicielle affectée n’a été identifiée, car les campagnes ne dépendent pas d’une version vulnérable d’une application. Aucun identifiant CVE, score CVSS ni enregistrement dans le catalogue CISA Known Exploited Vulnerabilities n’est non plus associé à cette activité.

FakeAgent a utilisé un Claude Artifact pour usurper une page de téléchargement d’application

En juillet, Huntress a suivi une campagne baptisée FakeAgent, qui a touché plus de 29 organisations. Les attaquants ont créé une fausse page de téléchargement de Claude Desktop et de Cowork à l’aide d’un Claude Artifact accessible au public.

La page était hébergée sur le domaine authentique claude.ai et imitait une expérience officielle de téléchargement de logiciels. Les utilisateurs qui recherchaient l’application de bureau Claude sur Bing pouvaient tomber sur cette page et sélectionner ce qui ressemblait à un lien de téléchargement légitime.

Le lien réel redirigeait les visiteurs vers un domaine externe qui diffusait le malware SectopRAT.

Cette structure répartissait l’attaque sur deux niveaux. La plateforme d’IA fournissait la page d’atterrissage convaincante, tandis qu’une infrastructure contrôlée par l’attaquant prenait en charge la redirection et la diffusion de la charge utile. Bloquer ou supprimer uniquement l’Artifact public ne traitait donc qu’un seul maillon de la chaîne.

Huntress a signalé l’Artifact, et Anthropic l’a supprimé le 22 juillet. Des incidents liés au même domaine de redirection se sont poursuivis jusqu’en août, montrant que la suppression du leurre hébergé sur un domaine de confiance n’avait pas immédiatement désactivé l’opération dans son ensemble.

La campagne a également mis en évidence une difficulté de modération. Les Artifacts publics sont conçus pour des démonstrations rapides et une diffusion aisée ; une imitation soignée peut donc rester disponible suffisamment longtemps pour piéger les utilisateurs arrivant depuis les résultats de recherche.

Un faux guide Apple Support diffusait MacSync via Terminal

Une autre campagne ciblait une personne qui recherchait « Claude on Mac » sur Google. Un résultat sponsorisé menait vers une conversation publique claude.ai/share présentée comme un guide d’installation d’Apple Support.

La page ne présentait pas plusieurs signaux d’alerte généralement associés au phishing. Son nom d’hôte était authentique, sa connexion ne déclenchait aucun avertissement de certificat et le contenu apparaissait dans l’interface habituelle des conversations partagées d’Anthropic. La conversation indiquait également qu’elle avait été partagée par Apple Support, ce qui renforçait cette fausse attribution.

Les instructions demandaient à la victime de copier-coller une commande curl d’une ligne dans Terminal sur macOS. L’exécution de cette commande lançait un processus d’infection en six étapes qui installait le voleur d’informations MacSync.

MacSync récupérait des données d’authentification et d’accès particulièrement sensibles, notamment :

• Cookies de navigateur et identifiants enregistrés
• Secrets du trousseau macOS
• Données de session Telegram
• Clés SSH
• Clés d’accès au cloud

Les risques dépassent ainsi le Mac initialement infecté. Les cookies volés peuvent permettre le détournement de sessions, tandis que les clés SSH et les clés cloud peuvent fournir un accès à des serveurs distants, à des systèmes de développement ou à des infrastructures hébergées. Le vol de données du trousseau peut exposer les identifiants utilisés par plusieurs applications et services.

L’utilisateur effectue lui-même l’action décisive. Cette technique peut donc contourner les hypothèses selon lesquelles un malware arrive uniquement par le biais d’une application téléchargée ou d’une vulnérabilité exploitée dans un navigateur.

Le poisoning des résultats de recherche a propulsé des conseils malveillants de ChatGPT et de Grok

En décembre, des attaquants ont utilisé des conversations publiques de ChatGPT et de Grok pour cibler des personnes qui cherchaient comment « libérer de l’espace disque sur macOS ».

Ils ont préparé des conversations contenant des étapes de dépannage malveillantes, les ont publiées via les fonctions de partage des plateformes, puis ont eu recours au poisoning lié au référencement afin d’améliorer leur visibilité dans les résultats Google. Les URL obtenues appartenaient à chatgpt.com et grok.com, ce qui rendait les instructions plus crédibles qu’un contenu équivalent hébergé sur un site récemment enregistré.

Au lieu de fournir des conseils sûrs pour nettoyer le disque, les pages employaient une technique de type ClickFix. Les victimes étaient invitées à saisir des commandes Terminal qui finissaient par installer le voleur AMOS.

Les attaques ClickFix transfèrent une partie de la chaîne d’infection à la victime. La page malveillante peut ne contenir aucune charge utile exécutable, et rien n’est nécessairement téléchargé tant que l’utilisateur ne suit pas les instructions affichées. Cela peut réduire l’efficacité des contrôles qui se concentrent exclusivement sur les pièces jointes malveillantes et les téléchargements directs de binaires.

Les conversations publiques avec des services d’IA s’intègrent également naturellement aux recherches d’assistance effectuées via les moteurs de recherche. Les utilisateurs consultent déjà des services d’IA pour obtenir des conseils d’installation, résoudre des erreurs et trouver de l’aide sur la ligne de commande. Les attaquants peuvent exploiter cette attente sans avoir besoin d’imiter l’intégralité de la plateforme.

Il s’agit d’un détournement de fonctionnalités, pas d’une vulnérabilité logicielle classique

Les campagnes ne résultent pas d’une faille qui pourrait être corrigée par une mise à jour de sécurité classique. Aucune vulnérabilité de corruption mémoire, aucun contournement de l’authentification, aucune évasion de bac à sable ni compromission de modèle n’a été signalé.

Le vecteur d’attaque combine plutôt plusieurs systèmes légitimes :

1. Une plateforme d’IA publie un Artifact public ou une conversation partagée.
2. L’optimisation des résultats de recherche ou un résultat sponsorisé le place devant des victimes potentielles.
3. Le domaine authentique du service réduit la méfiance de la victime.
4. Le contenu recommande un téléchargement ou une commande.
5. Une redirection, une commande shell ou un script récupère le malware.
6. Le voleur installé extrait les identifiants, les sessions et les clés d’accès.

Sur le plan opérationnel, cette chaîne peut avoir de lourdes conséquences malgré l’absence de CVE. La question de sécurité pertinente n’est pas de savoir si le code du fournisseur d’IA a été exploité, mais si des fonctions de publication fiables peuvent servir à convaincre les utilisateurs de franchir une frontière de sécurité.

La courte durée de vie des pages individuelles complique les investigations. Le contenu peut être supprimé avant que les analystes ne le recueillent, tandis que les domaines de redirection et l’infrastructure de diffusion des charges utiles continuent de fonctionner. Les défenseurs doivent donc conserver les éléments de preuve issus des terminaux et du réseau, plutôt que de considérer la suppression d’une page comme la preuve que la campagne a pris fin.

Les défenseurs doivent se concentrer sur les commandes, l’exécution et la persistance

Les organisations ne peuvent pas considérer automatiquement un contenu comme fiable simplement parce qu’il apparaît sur le domaine authentique d’un service d’IA. Une vérification supplémentaire doit être exigée dès que des conseils générés par une IA demandent l’exécution d’une commande Terminal, le téléchargement d’un logiciel, une action sur des identifiants ou la modification d’un paramètre de sécurité.

La mise en liste blanche des applications peut empêcher l’exécution de binaires et de scripts non autorisés après qu’une victime a suivi des instructions malveillantes. Les entreprises doivent également restreindre ou surveiller les commandes lancées depuis le contenu du presse-papiers, en particulier dans les environnements où les employés utilisent régulièrement des outils d’IA pour obtenir une assistance technique.

Les équipes chargées des terminaux doivent rechercher :

• Les tâches planifiées récemment créées
• Les modifications inattendues des exclusions de l’antivirus
• Les scripts ou exécutables non approuvés
• Les séquences de commandes copiées depuis des pages publiques d’assistance
• Les activités faisant suite à la consultation de conversations d’IA partagées
• L’exposition d’identifiants, de clés SSH, de clés cloud ou de sessions sur un appareil infecté

Aucun hash, domaine de redirection, chaîne de commande ni autre indicateur technique précis n’a été communiqué pour ces campagnes. La détection doit donc privilégier le comportement et le contexte plutôt qu’une liste figée d’indicateurs.

Les Artifacts et conversations partagées potentiellement malveillants doivent être signalés rapidement au fournisseur de la plateforme. Les défenseurs doivent toutefois aussi identifier les domaines externes contactés par les terminaux affectés et déterminer si les identifiants ou les clés d’accès doivent être révoqués.

La principale leçon à tirer des conclusions de Huntress sur le détournement de plateformes d’IA de confiance est qu’un domaine authentique prouve où le contenu est hébergé, mais pas qui l’a créé ni si ses instructions sont sûres.