Des fichiers malveillants imitent des logiciels d'IA de confiance

Des pirates ont créé de faux fichiers d'installation pour les modèles d'IA d'OpenAI et d'Anthropic, intégrant du code malveillant capable de miner de la cryptomonnaie sur les ordinateurs des utilisateurs à leur insu. Ces fichiers sont hébergés dans de faux dépôts GitHub et apparaissent aux côtés de fichiers légitimes signés par les entreprises.

De faux dépôts GitHub apparaissent dans les résultats de recherche

Les résultats de recherche de Google ont parfois placé certains de ces faux dépôts en tête, peut-être en raison d'un empoisonnement des moteurs de recherche. Check Point Research suit cette campagne, baptisée Yoba, depuis deux mois et a identifié la manière dont les pirates incitent les utilisateurs à télécharger les fichiers malveillants.

Le code malveillant se dissimule derrière un fichier légitime

Les pirates placent un fichier malveillant, comme un faux winmm.dll, à côté d'un programme d'installation authentique signé par OpenAI ou Anthropic. Lorsque l'utilisateur lance l'installateur, le fichier malveillant est chargé à la place de la véritable bibliothèque multimédia de Windows, ce qui permet au code des pirates de s'exécuter sans être remarqué.

L'attaque échappe à la détection et cible des utilisateurs précis

Les pirates évitent les ordinateurs dont la disposition du clavier est russe ou celle d'un autre pays de la CEI, à l'exception de l'Ukraine, et ciblent les ordinateurs configurés en français. Ils insèrent également de longues pauses dans leur code afin de déjouer les outils d'analyse automatisée. Check Point a par ailleurs relevé des indices suggérant une origine russe.

Le minage de cryptomonnaie utilise le processeur des victimes

Une fois l'ordinateur infecté, les pirates recourent à une tâche planifiée déguisée en tâche Microsoft pour conserver le contrôle. Ils exécutent leur code via une image cachée sur une chaîne Telegram et utilisent le service DNS chiffré de Google. Le mineur XMRig, connecté au réseau Tor, exploite le processeur de la victime pour miner de la cryptomonnaie.

Les signes d'un minage clandestin incluent des ralentissements

Selon ESET, les utilisateurs peuvent remarquer un léger ralentissement de leur ordinateur, une hausse de la chaleur ou un bruit de ventilateur. Sur les ordinateurs portables, la batterie peut même gonfler et endommager l'appareil. Les pirates peuvent à tout moment remplacer le mineur par d'autres programmes malveillants, comme des voleurs de mots de passe.

D'autres attaques utilisent des méthodes similaires

En mars, des pirates ont utilisé de fausses pages pour Claude Code afin de voler des mots de passe et des cookies de session. En juin, le groupe Yoba a déguisé son logiciel malveillant en agent de programmation appelé Cursor. Les utilisateurs sont invités à n'accéder à ChatGPT ou à Claude que par les sites officiels d'OpenAI et d'Anthropic.

Les utilisateurs doivent vérifier leurs systèmes et éviter les sources non fiables

Les chercheurs de Check Point mettent en garde les entreprises contre les assistants IA provenant de dépôts non vérifiés. Si le ventilateur d'un ordinateur tourne fort sans activité particulière, les utilisateurs doivent consulter le Gestionnaire des tâches pour repérer une utilisation inhabituelle du processeur. Ceux qui ont installé des applications depuis GitHub au cours des derniers mois sont invités à lancer une analyse antivirus complète.