Palo Alto Networks identifie des pirates épaulés par l’IA

Deux campagnes distinctes Palo Alto Networks analyse deux intrusions menées en Amérique latine contre des organisations mexicaines et brésiliennes. La première, CL-CRI-1131, a touché une organisation de transport, des ministères fédéraux et des services municipaux de l’eau au Mexique et en Équateur. La seconde, CL-CRI-1163, a ciblé le secteur financier brésilien. Les opérateurs ont utilisé des modèles de langage commerciaux pour orchestrer certaines opérations. Les chercheurs relient ces activités à des scripts itératifs, des réseaux de relais SOCKS5 et des outils déployés sur leurs propres infrastructures. L’analyse publiée le 14 septembre 2026 décrit ces campagnes comme deux groupes distincts, malgré plusieurs recouvrements techniques.

Des outils adaptés Dans CL-CRI-1131, les attaquants ont utilisé des utilitaires Windows existants et des scripts batch numérotés. En avril 2026, ils ont tenté à plusieurs reprises d’extraire la base SAM et le fichier NTDS.dit du contrôleur de domaine. Ils ont ensuite créé des copies instantanées sur plusieurs disques avant de copier les fichiers. Les scripts incluaient un contrôle des permissions pour vérifier l’écriture dans le répertoire de collecte. Palo Alto Networks estime que ces corrections successives correspondent à un usage de LLM. Les opérateurs ont aussi rencontré des problèmes de connexion avec l’adresse 62.171.185[.]97, utilisée pour l’exfiltration des données.

CL-CRI-1131 expose son infrastructure

NextChat héberge les modèles L’adresse 178.128.87[.]160 a hébergé une instance NextChat sur le port TCP 3000 pendant les compromissions d’avril et juin 2026. NextChat est une interface web à code ouvert permettant d’interagir avec plusieurs modèles. Elle permet aussi de comparer leurs réponses et de conserver les requêtes sur une infrastructure contrôlée par les attaquants. Les rapports cités par Palo Alto Networks associent cette activité à Claude et GPT-4.1. Les chercheurs évaluent que les opérateurs ont utilisé ces modèles pour produire des scripts de contournement après leurs échecs d’extraction. L’infrastructure exposée a également révélé plusieurs domaines dynamiques liés à leurs fonctions opérationnelles.

Le Brésil adopte SockTz Dans CL-CRI-1163, l’accès initial serait venu d’une pièce jointe diffusée par hameçonnage sur le thème d’une offre d’emploi. En février 2026, les attaquants ont déposé plusieurs chevaux de Troie d’accès à distance. Ils ont tenté d’installer les versions 1 à 8 de l’outil de tunneling SOCKS5 SockTz depuis un site WordPress compromis. Après ces tentatives, ils ont récupéré la version 9 depuis une infrastructure contrôlée. Un répertoire ouvert sur 167.148.195[.]53 contenait des centaines de scripts de campagne. Les noms exploit_creative.py, exploit_careful.py et rce_focused.py suggèrent un développement itératif assisté par modèle de langage.

Les répertoires exposent les opérations

Les recouvrements se multiplient Les deux campagnes utilisent des relais SOCKS5 et des modèles de langage commerciaux pour traiter des difficultés d’exécution. CL-CRI-1131 a fait évoluer ses certificats entre février, avril et juin 2026. Un certificat déployé le 20 avril comportait cinq noms alternatifs et protégeait l’hôte 178.128.87[.]160. Dans CL-CRI-1163, les versions successives de SockTz apparaissaient sur une même infrastructure, parfois en moins de deux heures. Palo Alto Networks décrit ces indices comme une évolution des outils observés dans la région. Les chercheurs relient aussi les noms de fichiers suffixés par _output à une génération itérative par LLM.

Les erreurs facilitent le suivi L’usage de modèles a aidé les opérateurs à résoudre des problèmes tactiques et à configurer des réseaux de proxy. Toutefois, leurs serveurs exposés ont rendu visibles des scripts, des outils et un historique de requêtes. Dans le cas mexicain, l’interface NextChat accessible publiquement a révélé une partie de l’infrastructure arrière. Dans le cas brésilien, le répertoire ouvert a exposé des fichiers associés à plusieurs phases de l’attaque. Palo Alto Networks présente ces défauts de sécurité opérationnelle comme des points de suivi pour les défenseurs. L’entreprise indique que ses clients bénéficient notamment de WildFire, Advanced URL Filtering, Advanced DNS Security, Cortex XDR et Cortex XSIAM. Lire l’analyse de Palo Alto Networks. Consulter WildFire. Contacter Unit 42.