NIK C2 exploite des clés OpenAI pour espionner Windows

Cisco Talos a observé NIK C2, un framework malveillant doté de fonctions d’intelligence artificielle, actif dans la nature. L’entreprise a publié ses recherches le 29 octobre 2026. Son implant écrit en Go donne aux attaquants un accès distant à Windows. Il permet aussi le vol d’identifiants, l’enregistrement des frappes et la surveillance de l’utilisateur. Un client OpenAI intégré peut analyser les données volées pendant la session compromise. Les opérateurs transmettent une instruction et choisissent un modèle depuis le panneau de commande. L’implant envoie ensuite la requête depuis la machine victime, puis renvoie la réponse à l’opérateur. Lire l’analyse de Cisco Talos.

La clé OpenAI devient une ressource exploitable lorsque l’opérateur n’en fournit pas. Dans ce cas, NIK C2 lit la variable d’environnement OPENAI_API_KEY sur la machine infectée. Talos qualifie ce comportement de conception délibérée. Une organisation ayant configuré une clé OpenAI sur un système Windows compromis pourrait donc financer les requêtes des attaquants. La facturation OpenAI débiterait le moyen de paiement associé à cette clé. Les journaux d’accès afficheraient également la clé de la victime comme origine des appels. Selon Talos, cette configuration masque ainsi l’identité de l’attaquant. Le récit complet est publié par Infosecurity Magazine.

NIK C2 combine vol et surveillance

Plus de 52 commandes étendent les capacités de NIK C2 au-delà des requêtes d’intelligence artificielle. Le framework collecte les données des navigateurs, les portefeuilles de cryptomonnaies et les identifiants Wi-Fi. Il enregistre aussi les frappes et capture l’écran. Les attaquants disposent d’un accès distant à la machine compromise. Talos a également identifié des fonctions de déplacement latéral et plusieurs mécanismes de contournement des défenses. L’implant rassemble donc la collecte d’informations, la surveillance et l’exploitation dans une même session. Talos décrit ce fonctionnement comme une réduction des délais de traitement hors ligne qui offraient auparavant des fenêtres de détection aux défenseurs.

Le module de verrouillage affiche des demandes de rançon personnalisées en bitcoins ou en Tether, aussi appelé USDT. Talos précise que ce composant ne chiffre aucun fichier. Il verrouille l’écran de la machine compromise sans modifier les fichiers. Cette méthode ne laisse donc pas de marqueurs liés au chiffrement ni de traces de modification des fichiers. L’entreprise indique qu’un verrouillage d’écran est plus rapide à déployer qu’un rançongiciel qui chiffre les fichiers. NIK C2 associe ainsi l’extorsion, le vol de données et les capacités d’accès distant. Le module peut s’ajouter aux fonctions de collecte déjà intégrées dans l’implant Windows.

Talos confirme une activité opérationnelle

Trois versions au moins de l’implant ont été observées par Cisco Talos. L’entreprise a également trouvé une infrastructure active pendant ses recherches. Ces observations conduisent Talos à estimer, avec une confiance modérée, que NIK C2 constitue un framework pleinement fonctionnel. L’analyse ne le présente donc pas comme une simple preuve de concept. Le panneau de commande permet aux opérateurs de fournir une instruction et un modèle. L’implant exécute ensuite la demande dans la session compromise. Cette architecture rapproche immédiatement l’accès à la machine, l’extraction de données et l’analyse par modèle dans un même flux opérationnel.