• Akamai Hunt a identifié une nouvelle souche de logiciel malveillant qui tente de se dissimuler derrière un point de terminaison d'API de LLM (grand modèle de langage) légitime. 

• Le logiciel malveillant envoie une chaîne qui semble être encodée en Base64 afin d'établir une connexion de commande et contrôle (C2), au lieu d'utiliser un schéma classique.

• Cette méthode pourrait permettre aux attaquants d'obtenir un contrôle total sur le système et d'exfiltrer des données. 

• Cet exemple illustre une fois de plus la rapidité avec laquelle les attaquants renouvellent leurs techniques, ce qui accentue la nécessité pour les entreprises de se préparer aux menaces d'aujourd'hui.

L'écosystème des menaces progresse au rythme effréné des tendances, et les attaquants ne tardent pas à suivre. Le schéma de communication des grands modèles de langage (LLM), dont l'adoption se généralise au sein des entreprises, peut permettre aux attaquants de dissimuler leur trafic malveillant.

Tout comme les équipes de protection s'empressent d'intégrer l'IA dans les pipelines de détection, notamment en utilisant des LLM pour enquêter sur les alertes, les synthétiser et mettre les indicateurs en corrélation, les développeurs de logiciels malveillants expérimentent avec l'IA. Nous en avons déjà observé les premiers signes avec des logiciels malveillants comme LameHug et PromptLock, qui illustrent comment les LLM conçus pour la génération de texte peuvent être détournés à des fins malveillantes.

Les cybercriminels innovent, par exemple en exploitant l'API d'OpenAI comme infrastructure de commande et de contrôle (C2) via la porte dérobée SesameOp, révélant ainsi une toute nouvelle surface d'attaque dans le monde de l'IA.

Récemment, l'équipe Akamai Hunt a découvert un nouveau logiciel malveillant, dont l'approche consiste à se fondre dans le trafic d'API de LLM pour passer inaperçu. Dans cet article de blog, l'équipe Hunt partage un exemple de la menace émergente qu'elle a identifiée dans le cadre de ses services aux clients.

En explorant de nouveaux scénarios d'abus des LLM dans les logiciels malveillants, un fichier a retenu notre attention. Déjà signalé comme malveillant sur VirusTotal et associé à plusieurs règles Yara, il semblait prometteur. Lorsque nous avons commencé notre enquête, nous nous attendions à retrouver un schéma classique : génération de code via LLM et exécution sur la machine victime.

Mais son comportement s'est avéré différent. Le logiciel malveillant tente d'abord de se connecter à l'adresse IP 39.97.57[.]244 via un socket, mais en cas d'échec, il bascule vers un C2 HTTP surprenant : 1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com/v1/chat/completions.

Après avoir observé la première requête HTTP vers l'API, nous avons été surpris de constater qu'elle ne respectait pas les en-têtes requis pour ce type de requête.

Dans le cadre de nos recherches, nous avons examiné les points de terminaison d'API des LLM, notamment /v1/chat/completions.

D'après la documentation d'OpenAI, ce point de terminaison « crée une réponse de modèle pour la conversation donnée » (Figure 1 et Figure 2).

Le point de terminaison /v1/chat/completions a été introduit par OpenAI et rapidement reproduit par plusieurs fournisseurs et passerelles qui offrent des API compatibles avec OpenAI (par exemple, OpenRouter et Hugging Face).

Cependant, les API officielles d'autres fournisseurs peuvent utiliser des points de terminaison natifs différents ou présenter des variations au niveau des paramètres, de l'authentification et du comportement en streaming, malgré un schéma de requête similaire.

En général, lorsque vous utilisez cette API, les paramètres suivants sont requis :

• Autorisation : un en-tête avec jeton Bearer « Autorization: Bearer YOUR_API_KEY » est requis pour authentifier la requête

• Modèle : un identifiant de chaîne sélectionnant un modèle compatible avec le chat (par exemple, gpt-3.5-turbo ou Llama-4-Maverick-17B-128E-Instruct-FP8) vers lequel le point de terminaison acheminera votre requête

• Messages : un tableau d'objets de message avec rôle et contenu, représentant l'historique de conversation que le modèle utilisera pour générer la prochaine réponse

Comme mentionné plus tôt, nous avons déjà observé un exemple concret d'utilisation malveillante de ce point de terminaison : LameHug. Les développeurs de logiciels malveillants ont utilisé le même point de terminaison pour accéder à un modèle LLM sur Hugging Face, en lui demandant des commandes spécifiques et en générant dynamiquement du code à exécuter sur la machine victime (Figure 3).

La première chose que nous avons remarquée en analysant ce binaire est qu'il n'utilise aucun des champs mentionnés. À la place, il envoie une chaîne qui semble être encodée en Base64 (Figure 4).

Après avoir décodé le corps et appliqué un XOR avec 0xBB, nous avons trouvé ce qui semble être la première requête de reconnaissance effectuée sur la machine victime.

Nous avons suivi le processus d'analyse syntaxique de la réponse et constaté que le logiciel malveillant attendait une réponse qui ne correspond pas au schéma original de l'API. Il traite les données reçues en les déchiffrant via XOR et Base64, puis exécute les instructions fournies dans la réponse (Figure 5).

Nous avons identifié d'anciennes variantes de ce logiciel malveillant (hash disponible dans la section IOC de cet article). Elles comportaient des instructions similaires et les mêmes chemins codés en dur pour plusieurs outils d'accès à distance ($HunterInfo), mais le serveur C2 était différent.

Nous avons également trouvé un fichier RAR sur VirusTotal, qui est lié au serveur C2. Le RAR inclut un fichier .lnk (个人简历.lnk, traduit par « CV »), exécutant ftp -s””:_/_/_/_/_/_/_/_/_. Le RAR contient aussi des fichiers .doc dans des répertoires imbriqués, bien que leur contenu soit du code binaire (Figure 8).

Ce fichier est en réalité « SangforPromote.exe », un fichier signé et vérifié de Sangfor Technologies. Lorsque l'argument -InstallLsp et une DLL sont utilisés, le fichier légitime charge la DLL et définit le pointeur vers son export via LoadLibrary (Figure 10).

La DLL, nommée 360, alloue de la mémoire avec des autorisations de lecture, d'écriture et d'exécution (RWX), y insère « sc », puis l'exécute.

En analysant sc, le code chargé résout des fonctions via LoadLibrary et GetProcAddress. Il comporte deux destinations codées en dur pour envoyer des requêtes HTTP, qui correspondent aux adresses C2 du logiciel malveillant analysé :

1. https://1347790942-k1bok35vg3.ap-guangzhou.tencentscf[.]com

2. 39.97.57[.]244

Il décode également les données avec Base64 et XOR comme les échantillons précédents, ce qui établit un lien entre les outils. Nous pensons que ce flux télécharge le RAT final dans le système de fichiers de la machine victime (Figure 11).

Les clients Akamai Hunt bénéficient d'une surveillance continue 24 h/24, 7 j/7 pour détecter ces artefacts, assurant leur protection contre ce type d'attaque (Figure 12).

La décision stratégique des attaquants d'acheminer l'exfiltration et le C2 via le point de terminaison /v1/chat/completions exploite à la fois l'ubiquité et l'évolution rapide des services LLM. Cette approche offre un retour sur investissement potentiel élevé, car elle s'appuie sur l'infrastructure cloud existante pour créer des canaux de communication qui se fondent dans le trafic normal de l'entreprise. 

Le danger réside dans la convergence de trois tendances majeures des environnements actuels, qui ensemble offrent aux adversaires des chemins C2 stables et furtifs, semblant bénins à première vue :

1. L'utilisation généralisée, souvent non inspectée, du HTTPS sortant vers des API cloud

2. La tolérance croissante au trafic généré par des machines (agents d'IA, applications, intégrations)

3. La disponibilité facile d'hébergements cloud offrant des points de terminaison fiables et durables que les attaquants peuvent exploiter 

La réalité est que les équipes de protection apprennent encore à comprendre le fonctionnement des LLM et les menaces qu'ils impliquent. Si le trafic paraît suffisamment légitime, il risque de passer sans protection adéquate. Parfois, se cacher à la vue de tous est le moyen le plus simple de s'infiltrer. 

En dissimulant des charges utiles malveillantes dans le trafic destiné à des services LLM légitimes, les attaquants profitent d'un schéma réseau de plus en plus courant, réduisant ainsi les chances que leurs communications soient signalées ou examinées. À mesure que les entreprises adoptent les outils d'IA et l'automatisation, le trafic vers les points de terminaison LLM devient normal. Ce contexte offre de nouvelles opportunités aux attaquants.