En bref
- Selon Unit 42, l’acteur a compromis une université indienne et extrait plus de 5 200 dossiers contenant des informations personnelles.
- Des assistants spécialisés l’ont aidé à produire des scripts, organiser ses reconnaissances et acquérir des connaissances sur la fraude téléphonique.
- Les traces disponibles attestent certaines intrusions, mais plusieurs projets observés restaient au stade de la préparation ou sans prolongement identifié.
Une assistance qui débouche sur des résultats concrets
L’enquête de Unit 42 décrit un acteur utilisant le pseudonyme BUGSTER pour conduire plusieurs activités criminelles avec l’aide de l’intelligence artificielle, ou IA. Le résultat le plus tangible concerne une université publique indienne. L’opérateur aurait extrait une base contenant plus de 5 200 dossiers. Ces fichiers incluaient des informations permettant d’identifier des étudiants, ainsi que des données concernant des enseignants.
Cette affaire dépasse donc la simple production de textes ou de conseils par une machine. Selon les chercheurs, l’acteur a aussi repéré les portes d’entrée numériques de plusieurs organisations. Il a obtenu un accès WordPress présenté comme valide sur un autre site universitaire. L’étude montre surtout comment une personne aux compétences apparemment limitées peut coordonner des opérations très différentes depuis un même environnement.
Des attaques reconstruites à partir de l’environnement de l’opérateur
Les observations proviennent de l’environnement opérationnel attribué à BUGSTER, que Unit 42 dit avoir identifié puis examiné. Les chercheurs y ont trouvé des journaux, des scripts de test, des rapports de reconnaissance et des conversations avec des assistants. Cette visibilité leur a permis de relier des préparatifs, des outils et certains résultats. Elle ne transforme toutefois pas chaque projet conservé sur le serveur en attaque effectivement menée.
Sur le premier site universitaire, la chronologie reconstituée comprend quatre étapes. L’acteur a d’abord recensé douze sous-domaines, dont un portail étudiant et un espace d’administration. Il a ensuite récupéré treize identifiants associés à de vrais noms, malgré le blocage d’un accès direct par un pare-feu applicatif. Un script a testé 117 noms avec 28 mots de passe courants, puis signalé une connexion candidate valide.
Une base de données volée, d’autres cibles seulement cartographiées
L’intrusion la mieux établie touche une seconde université. Unit 42 rapporte l’extraction d’une base MongoDB, un système servant à stocker des données organisées en collections. Un manifeste créé par l’outil mentionnait un compte administrateur protégé par un mot de passe faible. Il recensait aussi les collections copiées et plusieurs composants exposés, notamment des services de répartition du trafic et un compte de stockage externe.
Ailleurs, les chercheurs ont observé une reconnaissance visant une boutique indienne. Le rapport associé contenait un jeton d’accès, trois adresses électroniques administratives, deux numéros de téléphone et des identifiants de paiement. Une section proposait déjà de prochaines possibilités d’exploitation. Unit 42 soupçonne que ce document a été généré par un modèle d’IA, mais ne rapporte pas d’intrusion ultérieure contre cette boutique.
Trois assistants spécialisés autour d’un même opérateur
Le mécanisme reposait principalement sur Hermes Agent, un cadre logiciel permettant de piloter des assistants, associé au modèle DeepSeek V4. BUGSTER le contrôlait par messages privés sur Telegram. Trois profils séparaient les rôles. Le profil make-good servait d’assistant généraliste, alice conseillait sur la fraude téléphonique et pandarouter étudiait les opérateurs. Cursor, un environnement de développement intégré réunissant les outils de programmation, aidait aussi à produire du code.
Les contrôles de sécurité avaient été désactivés ou contournés par des consignes imposées au modèle. Les scripts montrent aussi des essais avec GLM 5.2 et d’autres modèles accessibles par OpenRouter. L’acteur a finalement retenu DeepSeek V4 pour ses opérations. Unit 42 interprète ce choix comme la recherche d’un service peu coûteux et facile à détourner, plutôt que comme la preuve d’une capacité autonome propre au modèle.
Des projets multiples, mais des degrés d’avancement très différents
Le profil alice expliquait comment préparer une fraude fondée sur la voix sur internet, appelée VoIP. Le plan prévoyait une société américaine servant de façade, l’achat de capacité auprès d’opérateurs et le mélange d’appels légitimes avec des appels frauduleux. Il abordait aussi le contournement de STIR/SHAKEN, un dispositif américain destiné à vérifier l’identité affichée lors d’un appel. Aucun journal d’appel ni routage actif n’a cependant été trouvé.
D’autres chaînes étaient plus techniques. Un appareil Linux placé près de réseaux Wi-Fi capturait des éléments d’authentification, puis les envoyait vers des processeurs graphiques loués pour rechercher les mots de passe. Cette méthode exige une proximité physique avec les bornes visées. Le serveur hébergeait aussi un dispositif de commande à distance, des outils cherchant des secrets exposés et des fichiers sur de gros détenteurs de cryptomonnaies.
Une étude révélatrice, sans mesure complète du phénomène
L’interprétation de Unit 42 est que l’IA a abaissé la barrière technique. Des scripts générés et des rapports structurés auraient permis à un opérateur peu aguerri de passer du vol d’identifiants à plusieurs domaines spécialisés. Les chercheurs signalent également d’autres acteurs utilisant séparément la combinaison Hermes et DeepSeek. Ce rapprochement suggère une adoption plus large, mais la source ne chiffre ni sa fréquence ni son évolution.
Les limites restent importantes. L’article repose sur l’enquête d’une seule équipe et ne fournit pas de corroboration indépendante dans les éléments disponibles. Certaines activités sont confirmées par des données extraites, tandis que la fraude VoIP paraît encore préparatoire. La recherche sur des détenteurs de cryptomonnaies n’a débouché sur aucune action repérée. Enfin, les noms de profils supplémentaires suggèrent des fonctions possibles, sans conversations permettant d’établir leur usage réel.
Ce qui reste à confirmer
La matière provient uniquement de l’enquête de Unit 42. Elle confirme une extraction de données et décrit un accès WordPress candidat, mais ne documente aucun appel VoIP actif, aucune suite visant les détenteurs de cryptomonnaies et aucun usage observé des quatre profils supplémentaires.