Google : Plus de 57 groupes de menaces étatiques utilisent l’IA pour leurs cyberopérations

Plus de 57 acteurs de menaces distincts ayant des liens avec la Chine, l’Iran, la Corée du Nord et la Russie ont été observés en train d’utiliser la technologie d’intelligence artificielle (IA) optimisée par Google pour renforcer leurs opérations malveillantes de cybersécurité et d’information.

« Les acteurs malveillants expérimentent Gemini pour faciliter leurs opérations, constatent des gains de productivité mais ne développent pas encore de nouvelles capacités », a déclaré Google Threat Intelligence Group (GTIG) dans un nouveau rapport. « À l’heure actuelle, ils utilisent principalement l’IA pour la recherche, le dépannage de code et la création et la localisation de contenu. »

Les attaquants soutenus par le gouvernement, également connus sous le nom de groupes Advanced Persistent Threat (APT), ont cherché à utiliser ses outils pour renforcer plusieurs phases du cycle d’attaque, notamment les tâches de codage et de script, le développement de charges utiles, la collecte d’informations sur les cibles potentielles, la recherche de vulnérabilités connues du public et l’activation d’activités post-compromission, telles que l’évasion de la défense.

Décrivant les acteurs iraniens d’APT comme les « plus gros utilisateurs de Gemini », GTIG a déclaré que l’équipe de piratage connue sous le nom d’APT42, qui représentait plus de 30 % de l’utilisation de Gemini par les pirates du pays, a exploité ses outils pour élaborer des campagnes de phishing, effectuer des reconnaissances sur des experts et des organisations de défense et générer du contenu sur des thèmes de cybersécurité.

APT42 , qui chevauche les clusters suivis comme Charming Kitten et Mint Sandstorm, a pour habitude d’orchestrer des schémas d’ingénierie sociale améliorés pour infiltrer des réseaux cibles et des environnements cloud. En mai dernier, Mandiant a révélé que l’acteur de la menace ciblait des ONG occidentales et moyen-orientales, des organisations médiatiques, des universités, des services juridiques et des militants en se faisant passer pour des journalistes et des organisateurs d’événements.

Le collectif adverse a également été amené à effectuer des recherches sur les systèmes militaires et d’armement, à étudier les tendances stratégiques de l’industrie de défense chinoise et à acquérir une meilleure compréhension des systèmes aérospatiaux fabriqués aux États-Unis.

Des groupes APT chinois ont été découverts en train de rechercher dans Gemini des moyens de mener des reconnaissances, de dépanner des codes et des méthodes permettant de pénétrer profondément dans les réseaux des victimes grâce à des techniques telles que le mouvement latéral, l’escalade des privilèges, l’exfiltration de données et l’évasion de la détection.

Alors que les acteurs APT russes ont limité leur utilisation de Gemini pour convertir les logiciels malveillants disponibles au public en un autre langage de codage et ajouter des couches de cryptage au code existant, les acteurs nord-coréens ont utilisé le service d’IA de Google pour rechercher des fournisseurs d’infrastructure et d’hébergement.

« Il convient de noter que les acteurs nord-coréens ont également utilisé Gemini pour rédiger des lettres de motivation et rechercher des emplois, des activités susceptibles de soutenir les efforts de la Corée du Nord pour placer des travailleurs informatiques clandestins dans des entreprises occidentales », a noté GTIG.

« Un groupe soutenu par la Corée du Nord a utilisé Gemini pour rédiger des lettres de motivation et des propositions de descriptions de poste, a recherché les salaires moyens pour des emplois spécifiques et a posé des questions sur les emplois sur LinkedIn. Le groupe a également utilisé Gemini pour obtenir des informations sur les échanges de salariés à l’étranger. De nombreux sujets seraient courants pour quiconque recherchant et postulant à un emploi. »

Le géant de la technologie a également noté qu’il avait vu des publications sur des forums clandestins faisant la publicité de versions néfastes de grands modèles linguistiques (LLM) capables de générer des réponses sans aucune contrainte de sécurité ou d’éthique.

Parmi ces outils , on peut citer WormGPT, WolfGPT, EscapeGPT, FraudGPT et GhostGPT, qui sont explicitement conçus pour créer des e-mails de phishing personnalisés, générer des modèles d’attaques de compromission de courrier électronique professionnel (BEC) et concevoir des sites Web frauduleux.

Les tentatives d’utilisation abusive de Gemini ont également concerné la recherche sur des événements d’actualité, la création, la traduction et la localisation de contenu dans le cadre d’ opérations d’influence menées par l’Iran, la Chine et la Russie. Au total, des groupes APT de plus de 20 pays ont utilisé Gemini.

Google, qui a déclaré qu’il « déployait activement des défenses » pour contrer les attaques par injection rapide , a en outre souligné la nécessité d’une collaboration accrue entre les secteurs public et privé pour renforcer les défenses cybernétiques et perturber les menaces, affirmant que « l’industrie et le gouvernement américains doivent travailler ensemble pour soutenir notre sécurité nationale et économique ».

Source: https://thehackernews.com/