Palo Alto Networks documente des attaques orchestrées par l’IA

Deux campagnes régionales Palo Alto Networks a analysé deux campagnes d’intrusion et d’exfiltration de données toujours actives en Amérique latine. La première, CL-CRI-1131, a visé une organisation de transport, des ministères fédéraux et des services municipaux de l’eau au Mexique et en Équateur. La seconde, CL-CRI-1163, a ciblé le secteur financier brésilien. Les chercheurs ont observé, dans les deux cas, l’usage de modèles de langage commerciaux pour orchestrer certaines opérations. Les campagnes présentent aussi des relais SOCKS5 communs et des infrastructures proxy avancées. Palo Alto Networks décrit ces activités comme deux ensembles distincts, avec des foyers géographiques et des outils différents.

Des scripts corrigés En avril 2026, l’activité mexicaine a montré plusieurs tentatives pour extraire la ruche SAM et le fichier NTDS.dit d’un hôte compromis. Les opérateurs ont ensuite créé des copies fantômes sur plusieurs lecteurs avant de copier les fichiers. Ils ont utilisé une série de scripts batch numérotés, incluant une vérification des permissions avant l’écriture. Les corrections successives et les essais répétés sont compatibles avec une génération assistée par modèle de langage, selon l’analyse de Palo Alto Networks. L’infrastructure associée est restée active jusqu’en juin 2026. Les opérateurs ont aussi rencontré des difficultés de connexion avec l’adresse 62.171.185[.]97.

L’infrastructure mexicaine expose NextChat

Des certificats révélateurs L’adresse 62.171.185[.]97 a conduit les chercheurs vers un certificat TLS Let’s Encrypt associé au domaine m-doxa-apodo.duckdns[.]org. Une recherche sur le préfixe m-doxa a révélé une infrastructure créée en février 2026. Un certificat multi-SAN regroupait cinq sous-domaines actifs. Leurs noms incluaient m-doxa-geo, m-doxa-intel et m-doxa-vacunas, avec des références à la géolocalisation, au renseignement et aux vaccins. Le 27 février, le certificat recensait un SAN et l’hôte 165.22.184[.]26. Les 20 avril et 19 juin, de nouveaux certificats comportaient cinq SAN et utilisaient l’hôte 178.128.87[.]160.

Un backend piloté par modèles L’adresse 178.128.87[.]160 hébergeait une instance de NextChat sur le port TCP 3000 pendant les compromissions d’avril et de juin. NextChat est une interface web à code ouvert permettant d’utiliser plusieurs modèles depuis une infrastructure contrôlée par l’opérateur. Palo Alto Networks relie cette interface aux difficultés rencontrées pour extraire les données. Des rapports cités dans l’analyse associent cette activité à l’utilisation de Claude et GPT-4.1 pour résoudre des problèmes opérationnels. Les chercheurs estiment que les modèles ont pu générer des scripts de contournement. L’interface exposée a également rendu visibles des éléments de l’environnement backend.

Le Brésil combine hameçonnage et proxys

Une attaque par candidature En février 2026, les opérateurs de CL-CRI-1163 ont obtenu un accès initial grâce à une pièce jointe envoyée dans un courriel d’hameçonnage lié à une candidature. Ils ont ensuite déployé plusieurs chevaux de Troie d’accès à distance. Les chercheurs ont observé des tentatives d’installation des versions 1 à 8 de SockTz, un outil de tunneling SOCKS5 écrit en Go. Ces versions étaient récupérées depuis un site WordPress compromis. Après l’échec apparent de la version 8, nommée socktz_v8.exe, les opérateurs ont récupéré la version 9 depuis une infrastructure qu’ils contrôlaient. Les tentatives se sont déroulées sur deux heures.