Introduction
Une nouvelle campagne de cybercriminalité met en lumière l’utilisation croissante de l’intelligence artificielle par des acteurs malveillants. Des cybercriminels, soupçonnés d’être basés au Vietnam, exploitent de fausses offres d’emploi générées par l’IA pour propager le malware PureRAT, une menace capable de fournir un accès distant complet aux systèmes compromis. Cette attaque, active depuis décembre 2025, cible des organisations de divers secteurs à l’échelle mondiale.
Une campagne de phishing sophistiquée et crédible
Les attaques débutent par l’envoi de courriels d’hameçonnage se présentant comme des opportunités d’emploi légitimes émanant d’entreprises reconnues.
Les messages contiennent des archives ZIP dont les noms sont soigneusement choisis pour inspirer confiance, par exemple :
- New_Remote_Marketing_Opportunity_OPPO_Find_X9_Series.zip
- Salary and Benefits Package.zip
Cette approche exploite le contexte économique actuel et l’intérêt croissant pour le travail à distance, augmentant considérablement le taux d’ouverture des pièces jointes.
L’intelligence artificielle au cœur du code malveillant
Selon les chercheurs de Symantec, plusieurs éléments indiquent clairement l’utilisation de l’IA dans la création du malware :
- Commentaires détaillés en vietnamien expliquant chaque étape du code
- Instructions numérotées et structurées
- Présence d’emojis dans les commentaires
- Scripts batch et Python fortement documentés
Ce niveau de clarté et de standardisation est rarement observé dans des malwares écrits manuellement, soulignant l’apport de l’intelligence artificielle dans la chaîne de développement de l’attaque.
Chaîne d’infection : comment PureRAT est déployé
Lorsque la victime ouvre l’archive ZIP, une attaque par chargement latéral de DLL est déclenchée. Des exécutables légitimes, tels que :
adobereader.exeSalary_And_Responsibility_Table.exe
sont utilisés pour charger des DLL malveillantes (ex. oledlg.dll, msimg32.dll, version.dll, profapi.dll).
Ces DLL servent de chargeurs pour installer PureRAT ou des outils similaires, comme des solutions de Hidden Virtual Network Computing (HVNC), permettant un contrôle discret du système infecté.
Persistance et dissimulation sur les systèmes compromis
Une fois installé, PureRAT met en place plusieurs mécanismes de persistance :
- Création d’un répertoire caché dans
%LOCALAPPDATA%\Google Chrome - Extraction et exécution de scripts Python protégés par mot de passe
- Téléchargement de charges utiles depuis des serveurs de commande et de contrôle (C2)
- Ajout d’une clé de registre sous le nom trompeur “ChromeUpdate”
Pour réduire les soupçons, le malware ouvre ensuite un document PDF légitime, donnant l’illusion d’une simple consultation de fichier professionnel.
Une menace mondiale à visée financière
Les chercheurs estiment que cette campagne ne vise pas un secteur spécifique. Elle semble plutôt orientée vers la revente d’accès à des systèmes compromis, un modèle courant dans l’écosystème cybercriminel.
L’origine vietnamienne des attaquants est appuyée par :
- Les commentaires en langue vietnamienne
- Des mots de passe intégrant le domaine
@dev.vn - Des comptes GitLab associés à des noms vietnamiens
Recommandations de sécurité
Face à cette menace émergente, les organisations et particuliers sont invités à :
- Ne jamais ouvrir de pièces jointes liées à des offres d’emploi non sollicitées
- Vérifier l’authenticité des recruteurs et des entreprises mentionnées
- Mettre à jour les solutions de sécurité endpoint
- Sensibiliser les employés aux nouvelles formes de phishing basées sur l’IA
- Bloquer l’exécution automatique de fichiers ZIP et d’exécutables inconnus
Les produits Symantec Endpoint Security détectent et bloquent désormais les échantillons identifiés dans cette campagne.
Conclusion
Cette attaque illustre une évolution majeure du paysage des menaces : l’industrialisation du cybercrime par l’intelligence artificielle. En combinant ingénierie sociale avancée et code généré par IA, les cybercriminels rendent leurs campagnes plus crédibles, plus rapides à produire et plus difficiles à détecter.
La vigilance, la formation et des solutions de sécurité à jour restent les meilleures défenses face à ces menaces de nouvelle génération.
Source : Cyber Security News
