Check Point Research a documenté le 27 octobre 2026 une campagne qui diffuse de fausses applications de bureau d’IA depuis GitHub, en abusant d’exécutables légitimes signés par OpenAI et Anthropic pour charger une DLL malveillante. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Le volume de victimes et le mode de repérage initial ne sont pas publics.
Pour une lecture orientée dirigeant, voir notre décryptage « Fausses applications d’IA : quand un vrai logiciel signé sert de cheval de Troie ».
Contexte
- Sources : rapport de Check Point Research, 27 octobre 2026 ; reprise par The Hacker News, 29 octobre 2026.
- Cible : large et opportuniste (particuliers et salariés qui cherchent à essayer de nouveaux outils d’IA). Filtrage géographique par la langue du clavier : Russie, Biélorussie, Kazakhstan et d’autres pays de la CEI sont exclus ; l’Ukraine ne figure plus dans la liste.
- Chronologie : premier dépôt créé mi-juillet 2026 ; trois versions piégées publiées entre le 30 août et le 4 septembre 2026 ; une variante antérieure, apparue début juin 2026, se faisait passer pour l’éditeur de code assisté par IA Cursor.
- Charge finale observée : mineur de cryptomonnaie open source (XMRig) communiquant via Tor. Le chargeur est générique : il accepte tout exécutable ou script PowerShell.
- Attribution : indices d’origine russophone et activité probable en UTC-4 selon Check Point ; aucun groupe nommé.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Préparation | Dépôts GitHub et pages GitHub Pages au nom de faux produits d’IA ; archives ZIP publiées en « release », non protégées par mot de passe | T1583 Acquire Infrastructure ; T1608.001 Upload Malware |
| Appât | Pages bien classées dans Google sans popularité artificielle sur GitHub ; manipulation du référencement jugée probable | T1608.006 SEO Poisoning |
| Exécution | L’utilisateur lance l’installeur ; sans droits administrateur, le programme affiche un message et s’arrête | T1204.002 User Execution: Malicious File |
| Contournement | Exécutable légitime signé (OpenAI ou Anthropic) chargeant une DLL piégée placée dans le même dossier, qui imite une bibliothèque système | T1574 Hijack Execution Flow (chargement latéral de DLL) |
| Évasion | Vérification du nom du processus hôte ; mise en sommeil d’environ 12,7 jours hors contexte ; filtre de langue ; résolution dynamique des API par hachage | T1497.003 Time Based Evasion ; T1614.001 System Language Discovery ; T1027 Obfuscated Files or Information |
| Persistance | Copie d’un exécutable Windows légitime dans un nouveau dossier de ProgramData, second chargement latéral ; tâche planifiée au démarrage, auteur affiché « Microsoft Corporation », exécution sous le compte SYSTEM | T1053.005 Scheduled Task ; T1036 Masquerading |
| Commande et contrôle | Image de profil d’un canal Telegram utilisée comme graine d’un algorithme de génération de domaines ; ordre lu dans un enregistrement DNS TXT via le service DNS sur HTTPS de Google, signé (Ed25519) et chiffré ; charge récupérée sur un hébergeur de fichiers public | T1102.001 Dead Drop Resolver ; T1568.002 Domain Generation Algorithms ; T1071.004 DNS ; T1105 Ingress Tool Transfer |
| Action finale | Injection dans un processus système ; minage via Tor avec pause quand l’utilisateur est actif ; options alternatives d’exécution d’un fichier ou d’un script PowerShell | T1055 Process Injection ; T1496 Resource Hijacking ; T1059.001 PowerShell |
Faits techniques connus sur l’abus de signature
- Le contrôle de signature porte sur l’exécutable lancé, pas sur l’ensemble du paquet : un binaire authentique et signé peut charger, depuis son propre dossier, une DLL non signée. C’est le cœur du cas. La réputation de l’éditeur (OpenAI, Anthropic) rassure l’utilisateur comme une partie des outils de protection.
- Check Point relève un très faible taux de détection des archives par les moteurs antivirus, obtenu grâce aux contrôles anti-bac à sable plutôt qu’à un chiffrement de l’archive.
- La variante de juin comportait davantage de contrôles anti-débogage et anti-machine virtuelle, retirés ensuite : l’outil a été simplifié au fil des versions, pas renforcé.
Ce qu’on ne sait pas
- Le nombre de téléchargements et de machines infectées, et leur répartition géographique.
- La manière dont Check Point a repéré la campagne.
- L’envoi éventuel d’autres charges que le mineur à certaines victimes, alors que le chargeur le permet.
Détection : des signaux faibles, noyés dans du trafic légitime
- Pourquoi c’est discret : processus parent signé par un éditeur reconnu ; trafic de commande vers des services grand public (Telegram, résolveur DNS sur HTTPS de Google, hébergeur de fichiers) ; mineur qui se met en pause quand l’utilisateur est actif.
- Ce qui peut alerter un SOC ou un EDR : chargement d’une DLL non signée par un exécutable signé depuis un dossier de téléchargement ou de ProgramData ; création d’une tâche planifiée se présentant comme Microsoft dans un dossier inhabituel ; requêtes DNS sur HTTPS émises par un processus qui n’est pas un navigateur ; trafic Tor ; consommation processeur élevée et régulière hors des heures de travail.
- Contrôle préventif le plus efficace : l’exigence de droits administrateur. Sur un poste où l’utilisateur n’est pas administrateur et où le contrôle d’applications limite l’exécution aux logiciels validés, la chaîne s’arrête dès l’installeur.
Questions d’audit ISO 27001:2022
- A.8.19 et A.8.2 (installation de logiciels sur des systèmes en exploitation ; droits d’accès privilégiés) : « Qui peut installer un logiciel sur un poste de travail ? Montrez-moi la liste des comptes administrateurs locaux, leur justification et la date de la dernière revue. Un utilisateur standard peut-il exécuter un installeur téléchargé depuis Internet ? »
- A.5.10 et A.5.23 (utilisation correcte de l’information et des autres actifs associés ; sécurité de l’information dans l’utilisation de services en nuage) : « Quels outils d’IA sont autorisés, pour quels usages et sur quels postes ? Comment cette règle est-elle communiquée, et comment l’usage d’outils non validés est-il détecté ? »
- A.8.7 et A.8.9 (protection contre les programmes malveillants ; gestion des configurations) : « Votre protection des postes surveille-t-elle les bibliothèques chargées par des processus signés ? Un contrôle d’applications (liste d’autorisation) est-il déployé, et sur quel périmètre ? »
- A.8.16 et A.8.23 (activités de surveillance ; filtrage web) : « Quelles alertes sont générées lors de la création d’une tâche planifiée persistante, d’un trafic DNS sur HTTPS hors navigateur ou d’une connexion Tor depuis un poste ? Qui les analyse et dans quel délai ? »
Pistes de sensibilisation
- Pour tous les salariés : « D’où vient ce logiciel ? » Montrer côte à côte un résultat de recherche qui mène à un faux dépôt et le site officiel de l’éditeur ; message clé : une signature valide sur l’installeur ne garantit pas que tout le paquet est sain. Support : la fiche « Utiliser l’IA, conseils pour les particuliers et les professionnels » de Cybermalveillance.gouv.fr, notamment la règle « uniquement le service d’IA souscrit par l’employeur ».
- Pour les utilisateurs disposant de droits élevés : « Une demande d’élévation inattendue se signale. » Un logiciel qui exige les droits administrateur pour « fonctionner » est un signal d’alerte, pas une formalité.
- Pour les équipes informatiques : exercice de recherche de menace sur trois marqueurs génériques de ce cas (DLL non signée chargée par un binaire signé hors de Program Files, tâche planifiée « Microsoft » hors des dossiers système, DNS sur HTTPS hors navigateur).
À lire aussi : notre décryptage « Fausses applications d’IA : quand un vrai logiciel signé sert de cheval de Troie » et notre bulletin de veille du 30 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.