Les agents IA deviennent l’arme favorite des groupes de rançongiciels

Des chercheurs en cybersécurité ont mis au jour une infrastructure d’intrusion pilotée par intelligence artificielle, exploitée par des affiliés des groupes de rançongiciels INC et The Gentlemen. Au cœur du dispositif, un cadre baptisé « Phantom » – pour « Autonomous Red Team Kill Chain Framework » – qui automatise la reconnaissance, l’exploitation initiale, le mouvement latéral et l’exfiltration de données.

L’acteur de menace, identifié comme russophone, opère à la fois comme intrus et comme opérateur d’extorsion de données. L’infrastructure exposée révèle une chaîne complète : des agents IA reçoivent des objectifs tactiques, scannent les surfaces d’attaque, sélectionnent les exploits adaptés et exécutent les intrusions avec une intervention humaine minimale. Les logs récupérés montrent que Phantom a été utilisé contre des dizaines d’organisations depuis le début de l’année.

Cette découverte marque une évolution majeure dans l’écosystème du ransomware. Jusqu’ici, l’IA servait principalement à rédiger des courriels de phishing plus convaincants ou à générer du code malveillant. Phantom démontre qu’une chaîne d’attaque complète peut être déléguée à des agents autonomes, réduisant le coût et le temps nécessaires à chaque intrusion.

Les groupes INC et The Gentlemen ne sont pas des nouveautés. Le premier, actif depuis 2023, pratique le « double extorsion » : chiffrement des données et menace de publication. Le second, apparu fin 2024, se distingue par une infrastructure technique sophistiquée. Leur convergence vers un même framework d’automatisation suggère une mutualisation des outils entre groupes affiliés, phénomène que les analystes observent depuis plusieurs mois.

Côté défense, l’existence de Phantom complique la détection. Les indicateurs de compromission traditionnels, hachages de fichiers, adresses IP de commande et contrôle, deviennent moins pertinents quand l’outil d’attaque est généré à la volée par un modèle de langage. Les équipes de sécurité doivent désormais surveiller les comportements anormaux d’agents IA légitimes au sein de leur propre infrastructure, une tâche bien plus ardue.

Sources : The Hacker News, Numerama

Sources : The Hacker News, Numerama