Un groupe de cybercriminels inconnus distribue depuis au moins deux mois de faux clients de ChatGPT et Claude qui, au lieu d'offrir un accès à ces assistants d'intelligence artificielle, installent un programme de minage de cryptomonnaies sur les ordinateurs des victimes. Cette découverte est attribuée à Check Point Research (CPR), une entreprise de cybersécurité qui a détecté des fausses applications portant des noms tels que GPT-5.6 Sol, GPT-6 Astra et Claude Opus, hébergées sur GitHub.
Contrairement à d'autres campagnes similaires, les responsables n'ont pas eu recours à des méthodes habituelles pour simuler la légitimité, telles que l'inflation artificielle du nombre de téléchargements, l'utilisation de bots pour ajouter des étoiles ou la publication de faux commentaires dans les dépôts. Ils ont plutôt misé sur une stratégie différente pour attirer les victimes : positionner leurs pages dans les premiers résultats de Google grâce à un empoisonnement du SEO.
Comment ils parviennent à apparaître en premier sur Google
L'empoisonnement du SEO (Search Engine Optimization) consiste à acheter des centaines ou des milliers d'articles, de publications de blog et de contenus sur les réseaux sociaux sur le dark web, pour ensuite les diffuser massivement sur Internet. Chaque publication inclut un lien vers la page GitHub que les attaquants souhaitent promouvoir, ce qui génère un signal artificiel de popularité et de pertinence face à l'algorithme de Google.
En conséquence, le moteur de recherche positionne ces pages parmi les premiers résultats pour certaines mots-clés, sans savoir qu'il facilite l'accès des victimes à des contenus malveillants. Les attaquants ont également créé des sites supplémentaires sur GitHub pour décrire les prétendues applications, avec des liens directs vers les fichiers d'installation.
Cette technique existait avant l'arrivée de l'intelligence artificielle générative, mais elle est désormais plus facile à exécuter : les mêmes outils d'IA permettent de générer de grandes quantités d'articles de faible qualité à un coût minimal. Google travaille à l'identification et à l'étiquetage de ce type de contenu comme spam, bien que le processus soit encore en développement.
Le malware qui se cache derrière les fausses applications
Ceux qui téléchargent ces installateurs n'obtiennent pas un client indépendant d'IA, mais un programme malveillant baptisé Yoba. Une fois exécuté, le malware assure sa persistance dans le système en créant un mécanisme qui le réactive automatiquement à chaque redémarrage de l'ordinateur. Pour rendre sa détection plus difficile, il se présente comme un logiciel légitime de Windows.
Yoba vérifie également que l'équipement infecté ne se trouve pas dans un environnement d'analyse (bac à sable) et n'appartient pas à ce que les attaquants considèrent comme un pays « ami ».
Le programme peut retarder délibérément son exécution jusqu'à deux semaines pour compliquer son étude par les chercheurs, et il examine la configuration du clavier afin d'éviter d'infecter les systèmes de Russie, de Biélorussie, du Kazakhstan et de l'Ouzbékistan. CPR n'a pas identifié l'origine géographique des attaquants, bien que ce motif d'exclusion puisse fournir un indice pertinent.
L'objectif final : miner des cryptomonnaies
Après son installation, le logiciel malveillant contacte un serveur de commande et de contrôle pour télécharger la charge finale. Bien que ce type d'infrastructure puisse être utilisé pour distribuer pratiquement tout type de menace, du vol d'informations au rançongiciel, CPR a confirmé que dans cette campagne, elle est utilisée pour déployer XMRig, un programme open source conçu pour miner la cryptomonnaie Monero.
XMRig est, en soi, un outil légitime. Cependant, il est particulièrement attractif pour les cybercriminels car Monero a été conçue avec une approche de la vie privée qui rend son suivi difficile sur la blockchain, contrairement à Bitcoin ou Ethereum. Le processus de minage exige une utilisation intensive de la puissance de calcul, de l'électricité et d'une connexion permanente à Internet.
En installant XMRig sur un grand nombre d'appareils sans consentement, les attaquants parviennent à générer des cryptomonnaies gratuitement, tandis que les victimes supportent le coût de la consommation énergétique supplémentaire et l'usure de leurs équipements.
Conseils pour éviter d'être victime de ces attaques
Il est important de suivre ces recommandations lors de l'intégration d'un nouvel assistant ou modèle d'intelligence artificielle sur l'appareil.
- Vérifier l'identité du développeur : les applications ou fichiers malveillants copient les logos de services tels que ChatGPT, Gemini ou Claude. Avant de lancer le téléchargement, il est obligatoire de vérifier que le nom du développeur correspond exactement, sans variations orthographiques, à l'entreprise créatrice (OpenAI, Google LLC ou Anthropic, respectivement).
- Auditer les permissions demandées : un modèle de langage ou un générateur d'images n'a pas besoin de privilèges système avancés. Si une prétendue application d'IA demande l'accès à la liste des contacts (dans le cas des téléphones), l'administrateur d'appareils ou les permissions d'Accessibilité, l'installation doit être annulée immédiatement.
- Bloquer l'installation par sideloading : le téléchargement de fichiers APK depuis des dépôts web tiers, des forums ou des liens promus sur les réseaux sociaux contourne les filtres de sécurité natifs du système d'exploitation. L'obtention de logiciels doit être limitée aux boutiques d'applications officielles (Google Play Store ou Apple App Store).
- Vérifier l'historique des publications et les métriques : les applications malveillantes ont souvent des dates de lancement récentes et un faible volume d'installations. Un outil légitime d'IA à portée mondiale affichera des dizaines de millions de téléchargements, un historique de versions soutenu dans le temps et un volume proportionnel d'avis.