# BUGSTER orchestre des cyberattaques avec DeepSeek V4 > Unit 42 décrit comment BUGSTER a utilisé Hermes Agent et DeepSeek V4 pour mener plusieurs opérations criminelles contre des cibles indiennes. Type : Actualité IA · Catégorie : Tendances · Publié le 2026-10-22 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/bugster-exfiltre-plus-de-5-200-dossiers-avec-lia Tags : cybersécurité, intelligence artificielle, fraude, exfiltration, universités, deepseek, ia-code, raisonnement --- ## En résumé - BUGSTER a configuré Hermes Agent avec DeepSeek V4 comme moteur de raisonnement. - L’acteur a exfiltré plus de 5 200 dossiers contenant des informations personnelles d’étudiants. - Unit 42 a observé des opérations visant les identifiants, la téléphonie, le Wi-Fi et les cryptomonnaies. **Le signal :** BUGSTER a exfiltré plus de 5 200 dossiers universitaires indiens avec l’aide d’outils IA configurés sans contrôles de sécurité. **Unit 42** a identifié un acteur utilisant l’intelligence artificielle pour planifier et exécuter plusieurs opérations criminelles contre des organisations, principalement en Inde. L’acteur, connu sous le pseudonyme BUGSTER, a configuré le cadre Hermes Agent avec DeepSeek V4 comme moteur de raisonnement. Il utilisait aussi l’environnement de développement Cursor pour générer du code. Les contrôles de sécurité avaient été désactivés ou contournés. Selon [l’analyse de Unit 42](https://unit42.paloaltonetworks.com/ai-assisted-cybercrime-analysis/), l’activité visait notamment le vol d’identifiants, l’[exfiltration](/signal-ia/actu/artex-cible-des-banques-sud-coreennes-selon-crowdstrike) de données, la fraude téléphonique, le cassage de mots de passe Wi-Fi, la reconnaissance de portefeuilles numériques et des opérations de commande et contrôle. **Les cibles indiennes** comprenaient plusieurs universités et un site de commerce électronique. L’acteur a récupéré des milliers de données personnelles et cartographié les surfaces d’attaque de plusieurs organisations. Une première campagne a ciblé la plateforme d’enseignement en ligne d’une université indienne. Elle a recensé 12 sous-domaines, puis 13 identifiants utilisateurs actifs grâce à l’API REST de WordPress. Un outil de génération a ensuite produit une campagne testant 117 noms d’utilisateur et 28 mots de passe courants. L’outil a signalé une combinaison valide. Sur un autre réseau universitaire, l’acteur a obtenu un compte administrateur protégé par un mot de passe faible. ## BUGSTER automatise plusieurs intrusions **La base universitaire** exfiltrée provenait d’une seconde université publique indienne. Elle contenait plus de 5 200 dossiers d’étudiants et de membres du personnel, avec des informations personnelles identifiables. Le manifeste créé par l’outil recensait aussi des services d’infrastructure exposés. Ces services comprenaient l’équilibrage de charge infonuagique, le routage périphérique, des bases de données et un compte de stockage appartenant à un service tiers. Sur un site marchand indien, l’acteur a également extrait un jeton d’API, trois adresses électroniques d’administrateurs, deux numéros de téléphone et des identifiants de paiement. **La [fraude](/signal-ia/actu/michael-smith-ecope-de-18-mois-pour-truquer-ses-ecoutes-musicales) téléphonique** faisait encore l’objet d’une préparation selon Unit 42. L’acteur a créé des profils spécialisés, dont alice, pour obtenir des conseils sur les opérations VoIP. Les conversations portaient sur la création d’une structure légitime, l’accès à des opérateurs et le contournement de mécanismes d’authentification des numéros appelants. Un autre profil, pandarouter, servait à rechercher des opérateurs VoIP et leurs vulnérabilités réglementaires. Les enquêteurs n’ont toutefois observé ni journaux d’appels, ni traces SIP, ni routage actif. L’opération semblait donc se trouver dans une phase de préparation ou de mise en place initiale. ## DeepSeek V4 centralise les opérations **Les autres capacités** reposaient sur une infrastructure plus large. Un appareil Linux placé à proximité de réseaux Wi-Fi capturait du matériel d’authentification, ensuite transmis à des ressources de calcul infonuagiques. Cette méthode nécessitait un accès physique proche des réseaux ciblés. L’acteur exploitait aussi un outil Go capable de rechercher des secrets exposés dans des fichiers et des journaux. Pour les cryptomonnaies, il a recensé les 500 principaux détenteurs d’ether et identifié 45 grands détenteurs avec des estimations de patrimoine. Unit 42 n’a pas observé d’activité ultérieure liée à cette reconnaissance. **Le choix technique** s’est finalement porté sur [DeepSeek](/signal-ia/actu/en-chine-des-relais-revendent-claude-a-10-pourcent-du-tarif) V4 après des essais avec GLM 5.2 de Zhipu AI et d’autres modèles accessibles via OpenRouter. Les scripts de test cherchaient à faire disparaître les refus de modèles grâce à une surcharge des instructions système. Hermes Agent, contrôlé par Telegram, constituait l’assistant principal. Cursor fournissait une aide à la génération de code avec plusieurs modèles configurés. Plusieurs acteurs indépendants adoptaient aussi la combinaison Hermes et DeepSeek, selon Unit 42. L’entreprise attribue cette diffusion à un coût faible, une accessibilité élevée et des protections jugées faciles à contourner.