Êtes-vous concerné ?
- Concerné : les PC Windows sur lesquels des utilisateurs installent eux-mêmes des applications de bureau d'IA trouvées dans des résultats de recherche, surtout avec des droits d'administrateur.
- Pas concerné si : vos utilisateurs n'ont pas de droits d'administrateur et personne ne saisit de mot de passe administrateur à leur place. Selon Check Point, sans droits d'administrateur, le dropper affiche « Please run this program as Administrator. » et se ferme.
Que faire
- Dites à vos collègues de télécharger les applications de bureau d'IA sur le site de l'éditeur, pas depuis un projet GitHub qu'un moteur de recherche a classé en premier.
- Retirez les droits d'administrateur locaux là où le travail ne les exige pas. Sans eux, l'installateur s'arrête et demande des droits d'administrateur : ne saisissez donc pas le mot de passe administrateur pour une « application d'IA » qu'un collègue a trouvée en ligne.
- Sur les PC Windows dont les utilisateurs ont des droits d'administrateur, tapez C:\ProgramData\WMProcess dans la barre d'adresse de l'Explorateur de fichiers : la présence de WMPDMC.exe et de wmpdui.dll dans ce dossier signale une infection. Dans le Planificateur de tâches (Task Scheduler), cherchez une tâche ayant pour auteur « Microsoft Corporation » et pour description « Collects device metadata for Windows Media Player. » Un Setup.exe accompagné d'un winmm.dll dans le dossier Téléchargements (Downloads) signifie que quelqu'un a téléchargé le leurre.
- Vous avez trouvé le dossier ou la tâche ? Déconnectez le PC du réseau et réinstallez-le. Le loader s'exécute sous le compte Local System et télécharge tout ce que l'attaquant choisit : supprimer le dossier ne suffit donc pas.
- Ne considérez pas une signature valide de l'éditeur comme une garantie pour tout le téléchargement : elle couvre un seul fichier, pas la DLL posée à côté.
Ce que l'on sait – et ce que l'on ignore
- Pour Check Point, c'est très probablement l'empoisonnement SEO (SEO poisoning) qui a placé les projets parmi les premiers résultats de Google ; les pages GitHub.io renvoient directement vers les ZIP.
- Selon Check Point, le malware évite ses propres serveurs de commande et de contrôle et passe par Telegram, Tor, Catbox et le DNS-over-HTTPS de Google, ce qui rend son trafic plus difficile à distinguer d'un usage normal.
- Selon Check Point, les taux de détection étaient si faibles que les attaquants ont laissé les ZIP sans mot de passe.
- Le loader peut injecter ce qu'il télécharge dans svchost.exe ou l'exécuter comme programme ou script PowerShell. Check Point reste pour l'instant la seule source.
Pourquoi c'est important
Pas d'e-mail, pas de pièce jointe : quelqu'un cherche le dernier modèle, clique sur le premier résultat, arrive sur GitHub, et l'installateur porte une signature en laquelle il a confiance. Ce qui l'arrête n'a rien de spectaculaire : pas de droits d'administrateur au quotidien, pas de mot de passe administrateur saisi pour l'installateur d'un inconnu, et l'habitude de récupérer ses outils chez l'éditeur. Chaque nouveau nom de modèle d'IA est un nouvel appât.