Les chercheurs de SOCRadar ont mis au jour un aperçu rare du mode de fonctionnement des criminels. Un serveur ouvert lié à des affiliés des opérations de rançongiciels INC et The Gentlemen contenait 8 257 messages d'IA avec Claude et Kimi, 46 versions de chiffreurs et 62 victimes nommées. Cette découverte est un exemple concret de gangs de rançongiciels utilisant des assistants d'IA dans le cadre de leur routine quotidienne, et elle offre des leçons utiles aux particuliers et aux petites entreprises.
Le rapport source est bref, aussi cet article s'en tient-il à ce qui a été publié et évite de spéculer sur des détails qui n'ont pas été rendus publics.
Ce que SOCRadar a trouvé sur le serveur ouvert
Selon le résumé des conclusions de SOCRadar, le serveur était laissé librement accessible et était lié à des affiliés de deux groupes de rançongiciels, INC et The Gentlemen. Trois chiffres définissent la découverte :
- 8 257 messages d'IA échangés avec les assistants Claude et Kimi
- 46 versions de chiffreurs, c'est-à-dire des versions compilées du logiciel malveillant de verrouillage de fichiers prêtes à être déployées
- 62 victimes nommées, des organisations identifiées sur le serveur
Un serveur exposé de ce type fonctionne comme un atelier dont la porte est restée ouverte. Au lieu de ne voir que l'attaque finalisée, les chercheurs peuvent voir les outils, les enregistrements et les conversations de travail qui les sous-tendent. Les erreurs opérationnelles des criminels, comme laisser une infrastructure non sécurisée, sont l'un des rares moyens pour les défenseurs d'obtenir ce type de visibilité.
Comment INC et The Gentlemen ont utilisé Claude et Kimi
Le détail phare est le volume de conversations d'IA. Plus de huit mille messages suggèrent que les assistants n'étaient pas une expérimentation occasionnelle mais une partie régulière du flux de travail de ces affiliés. Le matériel source confirme la présence des discussions aux côtés des versions de chiffreurs et des enregistrements de victimes. Il ne précise pas, dans les informations disponibles ici, chaque tâche pour laquelle les assistants ont été utilisés, aussi nous ne spéculerons pas sur des invites ou des résultats spécifiques.
Ce que la combinaison montre, c'est que les outils de chat d'IA côtoient la machinerie d'une campagne d'attaque : des versions de logiciels malveillants d'un côté, une liste de victimes de l'autre, et un long historique de conversations d'IA entre les deux. Pour les défenseurs, la conclusion pratique est que l'IA peut accélérer le travail routinier des criminels, ce qui peut réduire l'effort nécessaire pour préparer et mener des attaques.
Le fait que deux assistants différents apparaissent compte également. Claude et Kimi proviennent de développeurs différents, ce qui suggère que les affiliés ne sont pas liés à un seul outil et peuvent passer de l'un à l'autre.
Ce que les 62 victimes nommées suggèrent sur le ciblage
Soixante-deux victimes nommées aux côtés de 46 versions de chiffreurs indiquent une opération organisée et reproductible plutôt qu'une intrusion ponctuelle. Le fait de disposer de nombreuses versions prêtes suggère que les attaquants préparent à l'avance des versions personnalisées ou variées de leur logiciel malveillant, ce qui peut rendre la détection simple par signature moins fiable.
La source ne détaille pas les secteurs ou les régions auxquels appartiennent les victimes, il serait donc erroné de tirer des conclusions fermes sur le ciblage sectoriel. Une lecture raisonnable est plus étroite : les affiliés de rançongiciels tiennent des listes de cibles actives et préparent leurs outils à l'avance. Ce schéma est cohérent avec la tendance plus large des équipes qui frappent des organisations plus faciles à faire pression, un thème exploré dans notre analyse de comment les gangs de rançongiciels Qilin et Akira intensifient les attaques contre la chaîne d'approvisionnement.
Ce que cela signifie pour vous
Si vous dirigez une petite entreprise ou gérez vos propres appareils, l'actualité peut sembler lointaine, mais la leçon est pratique. L'assistance par IA n'invente pas tant de nouvelles façons de s'introduire qu'elle rend les méthodes existantes plus rapides à préparer. Cela signifie que les fondamentaux comptent plus, et non moins.
- Particuliers : Les attaquants dépendent toujours de mots de passe volés, de logiciels non corrigés et d'utilisateurs trompés. Des identifiants forts et uniques et des appareils à jour restent des barrières efficaces.
- Petites entreprises : Être petit n'est pas une protection. Les affiliés tiennent des listes de victimes, et la préparation est peu coûteuse lorsque les outils sont déjà construits.
- Tout le monde : Ne supposez pas pouvoir repérer une attaque à une formulation maladroite ou à une technique maladroite. L'IA peut aider à peaufiner les deux.
Comment réduire votre risque de rançongiciel avec les sauvegardes, les correctifs et l'AMF
Trois habitudes font l'essentiel du travail contre les rançongiciels, quel que soit celui ou ce qui aide l'attaquant :
- Maintenez des sauvegardes hors ligne ou immuables. Les rançongiciels sont conçus pour verrouiller vos fichiers, et une sauvegarde que les attaquants ne peuvent pas atteindre transforme une crise en désagrément. Testez régulièrement les restaurations, car une sauvegarde non testée n'est qu'une supposition.
- Appliquez les correctifs rapidement. Installez les mises à jour des systèmes d'exploitation, des navigateurs, des appliances VPN et des outils d'accès à distance dès que possible. Priorisez tout ce qui est exposé à Internet.
- Activez l'authentification multifacteur (AMF). Activez-la sur les e-mails, l'accès à distance, les comptes administrateur et les services cloud. Les mots de passe volés seuls deviennent alors bien moins utiles.
Ajoutez quelques étapes de soutien : limitez les droits d'administrateur, segmentez les systèmes importants des systèmes du quotidien, et notez par écrit qui appeler en cas d'attaque.
L'essentiel
La découverte de SOCRadar rappelle que les gangs de rançongiciels utilisant des assistants d'IA opèrent déjà à une échelle mesurée en milliers de messages, en dizaines de versions de logiciels malveillants et en dizaines de victimes. Vous ne pouvez pas contrôler ce que les criminels font avec ces outils, mais vous pouvez contrôler votre niveau de préparation. Mettez en place des sauvegardes hors ligne, appliquez les correctifs rapidement et activez l'AMF cette semaine. Pour comprendre la pression plus large sur les organisations, lisez notre article sur comment les gangs de rançongiciels comme Qilin et Akira ciblent les chaînes d'approvisionnement.
