Six minutes pour compromettre : Botnet C2 construit par IA déployé par Patriot Bait

Résumé

Un acteur menaçant russophone connu sous le nom de bandcampro a utilisé Google Gemini CLI pour automatiser la migration et le fonctionnement d’un botnet de commande et de contrôle. L’acteur s’est appuyé sur l’IA pour gérer la conception de l’architecture, la génération de code, le déploiement et le débogage, réduisant considérablement la quantité de travail manuel nécessaire. En pratique, l’agent IA a fonctionné comme un consultant offensif principal, gérant l’infrastructure et proposant même des améliorations sans être explicitement demandé.

Enquête

TrendAI Research a examiné plus de 200 journaux de sessions Gemini CLI collectés entre le 19 mars et le 21 avril 2026. L’enquête a montré comment l’acteur a utilisé des « fichiers de compétences » en texte brut pour entraîner l’IA à gérer l’infrastructure de commande et de contrôle, y compris les tunnels Cloudflare et le déploiement de VPS. Les journaux ont également capturé le craquage de mots de passe assisté par l’IA, l’abus de crédentiels et la planification liée à la fraude aux crypto-monnaies.

Atténuation

Les défenseurs devraient privilégier la détection comportementale aux indicateurs statiques, puisque l’IA peut rapidement changer les noms de fichiers, les clés de registre et autres artefacts observables. Les comportements importants à surveiller incluent les sondages répétés sortants, l’exécution de PowerShell depuis des emplacements inhabituels, et les abonnements WMI créés dynamiquement à l’exécution. Les organisations devraient également appliquer l’authentification multifactorielle résistante au phishing pour réduire l’impact des attaques de crédentiels assistées par l’IA.

Réponse

Si cette menace est détectée, les intervenants devraient bloquer le trafic de commande et de contrôle identifié au niveau réseau et surveiller de près les tentatives de reconnexion, car l’acteur peut rapidement reconstruire l’infrastructure. Les équipes de sécurité devraient également rechercher des activités PowerShell suspectes dans %TEMP% et pour svchost.exe s’exécutant depuis des chemins non standards. Il est également recommandé de procéder à une rotation rapide des crédentiels et à un audit des abonnements aux événements WMI.

Exécution de simulation

Prérequis : Le contrôle pré-vol de la télémétrie et de la base doit avoir réussi.

Raisonnement : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le narratif DOIVENT refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un mauvais diagnostic.

• Narratif de l’attaque et commandes : L’adversaire a obtenu un accès initial et vise à établir une base permanente. Ils téléchargent un script PowerShell malveillant vers %TEMP%win_update_svc_abc123.ps1. Pour se fondre dans le trafic Web, le script utilise un UserAgent de navigateur commun. Le script exécute ensuite une étape secondaire, se faisant passer pour svchost.exe, pour effectuer des tâches en arrière-plan. Cela touche directement la logique de la règle selection2 (PowerShell + chemin temporaire spécifique) et selection3 (UserAgent).

• Script de test de régression :

  # Script de simulation pour la validation de détection
  $tempPath = "$env:TEMPwin_update_svc_test.ps1"
  $userAgent = "Mozilla/5.0 (Windows NT 10.0; Win64; x64)"
  
  # 1. Créer le script 'malveillant' dans l'emplacement temporaire spécifique
  "Write-Output 'Simulating Malicious Activity'" | Out-File -FilePath $tempPath -Encoding utf8
  
  # 2. Exécuter PowerShell avec la ligne de commande et le UserAgent requis
  # Nous utilisons Start-Process pour simuler les arguments de ligne de commande requis par la règle
  $argList = "-ExecutionPolicy Bypass -File `"$tempPath`""
  
  # Remarque : Comme UserAgent est souvent un champ dans les journaux Web ou la télémétrie EDR spécifique,
  # nous simulons le contexte d'exécution qui remplirait le champ 'UserAgent' dans la logique de détection.
  Start-Process powershell.exe -ArgumentList $argList -WindowStyle Hidden
  
  # Pour simuler la logique de 'selection1' (svchost de Runtime), nous tentons de lancer svchost
  # via un processus qui imite l'environnement Runtime de Windows si possible,
  # sinon, nous déclenchons le chemin PowerShell qui est la condition principale.
  Write-Host "Commande de simulation envoyée. Vérifiez la télémétrie pour : $tempPath"

• Commandes de nettoyage :

  # Script de nettoyage
  Remove-Item -Path "$env:TEMPwin_update_svc_test.ps1" -Force -ErrorAction SilentlyContinue
  Write-Host "Nettoyage terminé."