Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium se penche sur un nouvel outil appelé HexStrike AI, qui réduit considérablement la durée des exploitations, la faisant passer de plusieurs jours à quelques minutes. L'équipe présente ensuite TinkyWinkey : un enregistreur de frappe sous Windows qui permet de mener des opérations d'espionnage et de vol de données. Enfin, nous nous penchons sur une nouvelle étude de Check Point qui explique en détail comment le groupe APT « Silver Fox » a réussi à exploiter un pilote Microsoft présentant une vulnérabilité jusque-là inconnue afin de désactiver les protections des terminaux et de déployer le logiciel malveillant ValleyRAT.
Les cybercriminels utilisent l'IA HexStrike pour orchestrer des cyberattaques
Un article récent de Check Point, intitulé « », examine la manière dont les cybercriminels utilisent un nouvel outil d'IA appelé HexStrike AI pour orchestrer des cyberattaques. Les cybercriminels affirment que l'IA HexStrike réduit la durée des attaques de plusieurs jours à moins de 10 minutes.
Qu'est-ce que HexStrike AI ?
HexStrike AI a été initialement conçu pour servir d'outil aux équipes « red team » et aux chercheurs en sécurité. Dès sa sortie, Check Point a constaté que des acteurs malveillants discutaient de la manière d'exploiter cet outil à des fins d'attaques. En l'espace de quelques heures seulement, certains acteurs discutaient déjà concrètement de la manière de s'en servir pour exploiter les vulnérabilités « zero-day » de Citrix qui avaient été révélées environ une semaine auparavant.
Architecture de l'IA HexStrike
Check Point décrit HexStrike AI comme « un changement radical dans la manière dont les opérations cyberoffensives peuvent être menées ». Cet outil permet à divers modèles d'IA, tels que Claude, GPT et Copilot, de fonctionner sans intervention ni gestion humaine. Il présente également les agents MCP, c'est-à-dire des agents qui communiquent via le protocole MCP (Model Context Protocol) et contribuent à combler le fossé entre les grands modèles de langage (LLM) et les capacités offensives réelles. Check Point a constaté que les agents IA d' , , étaient capables d'exécuter de manière autonome plus de 150 outils cybernétiques, notamment ceux destinés aux tests d'intrusion, à la découverte, à la recherche, etc.
Ce rapport met en évidence quelques aspects clés de la conception d'HexStrike. Le premier est sa couche d'orchestration MCP. Ce cadre permettra de mettre en place un serveur FastMCP destiné à assurer la communication entre d'autres modèles de langage de grande envergure (LLM) et les fonctions de l'outil. Ces outils fonctionnent comme des composants appelables que l'agent peut invoquer et qui permettent d'émettre des commandes par programmation. Check Point met également en avant l'intégration de ses outils à grande échelle. Cet outil est automatisé et résilient ; il transforme les commandes en flux de travail afin que les actions soient reproductibles.
Exploitation des vulnérabilités
Check Point met en évidence la manière dont des acteurs malveillants ont pu exploiter l'IA HexStrike dans le cadre de trois vulnérabilités « zero-day » affectant les appliances Citrix NetScaler ADC et Gateway, dont l'existence avait été révélée peu de temps auparavant.
Au cours des 12 heures qui ont suivi la divulgation de ces vulnérabilités, Check Point a observé des acteurs échanger sur la manière dont l'IA HexStrike pourrait être utilisée pour détecter et exploiter les instances vulnérables. Cela confirme, comme l'indique , la manière dont l'IA peut être utilisée pour automatiser des tâches auparavant manuelles, telles que la reconnaissance.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
HexStrike AI illustre parfaitement comment l'IA peut constituer un multiplicateur de puissance pour les acteurs malveillants, en réduisant le temps, les compétences et les efforts nécessaires pour mener des attaques sophistiquées.
Check Point souligne la rapidité avec laquelle les acteurs malveillants se sont rués sur cet outil dès sa sortie, ainsi que la rapidité avec laquelle il a fait l'objet de discussions en vue de son utilisation pour des exploitations de vulnérabilités « zero-day » dans le monde réel. Les attaquants déploient de plus en plus rapidement des outils d'IA, ce qui est particulièrement préoccupant dans la mesure où l'IA devient peu à peu un outil pouvant être utilisé pour mener des opérations et exécuter des chaînes d'attaque complètes.
Check Point propose une série de mesures recommandées par l' , que les responsables de la sécurité peuvent mettre en œuvre face à cette menace.
Le keylogger « TinkyWinkey » menace les systèmes Windows
Cyfirma fournit des informations détaillées sur le keylogger TinkyWinkey, un logiciel malveillant furtif pour Windows qui enregistre les frappes au clavier, surveille les fenêtres actives et collecte des données système à l'aide de techniques avancées telles que l'injection de DLL et les appels d'API de bas niveau. Grâce à sa conception modulaire et à son exécution persistante, TinkyWinkey représente une menace importante pour les opérations d'espionnage et de vol de données.
Présentation de TinkyWinkey
Cyfirma a détecté pour la première fois le keylogger TinkyWinkey à la fin de l'année juin 2025. Selon Cyfirma, « ses composants de service et ses enregistreurs de frappe laissent supposer une volonté délibérée de préserver la flexibilité et la discrétion, ce qui facilite la mise à jour ou la réutilisation du logiciel malveillant pour différentes campagnes ».
Les deux principaux composants de TinkyWinkey sont les suivants :
- Le service Tinky, , qui est chargé du lancement et de l'exécution du keylogger
- Le keylogger Winkey, , qui enregistre les frappes réelles au clavier
Cyfirma souligne que les principales fonctionnalités de ce logiciel malveillant comprennent la collecte d'informations système, l'enregistrement des frappes clavier, le suivi des fenêtres, la journalisation du système, la gestion des services et la gestion des processus et des sessions.
Analyse statique de TinkyWinkey
Tout d'abord, le logiciel malveillant identifie le répertoire temporaire du système et vérifie que le fichier journal requis s'y trouve bien. Ce fichier journal sert à stocker les frappes enregistrées dans le cadre de la routine d'enregistrement des frappes. Il appelle ensuite quelques fonctions destinées spécifiquement à recueillir des informations sur l'hôte, telles que la version du système d'exploitation, les informations relatives au processeur, etc.
Le logiciel malveillant va ensuite identifier le système d'exploitation, recenser les informations relatives au processeur, effectuer une analyse de l'identité du réseau, recenser la capacité de la mémoire et surveiller la fenêtre au premier plan afin de déterminer à quel moment l'utilisateur change d'application.
En ce qui concerne la fonctionnalité principale d'enregistrement des frappes, le logiciel malveillant installe un « hook » de clavier qui permet de capturer les frappes. Il peut surveiller le clavier actif, mais peut également enregistrer tout changement de langue effectué par l'utilisateur. Les touches spéciales telles que « Échap », « Entrée » ou « Retour arrière » sont remplacées par des marqueurs descriptifs dans le journal proprement dit. Pour les clés non spécifiques, le logiciel malveillant convertit le code de la clé et l'enregistre dans le fichier journal.
Le logiciel malveillant entrera finalement dans une boucle de messages continue, qui maintient actifs sa fenêtre au premier plan et ses hooks clavier afin d'assurer sa persistance.
Analyse dynamique de TinkyWinkey
Lorsqu'il est exécuté, un service Windows malveillant appelé « Tinky » est enregistré. Ce fichier est conçu pour être exécuté au démarrage afin d'assurer la persistance des données.
Une fois la persistance établie, la charge utile secondaire, winkey.exe, est exécutée. Cette charge utile est celle qui gère le module d'enregistrement des frappes.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Grâce à sa maîtrise avancée des mécanismes internes de Windows, à son exécution furtive et à sa journalisation exhaustive, TinkyWinkey est susceptible d'intéresser les auteurs de menaces.
Comme le souligne Cyfirma, l'auteur du keylogger a clairement séparé les composants du service et ceux du keylogger. Cette séparation délibérée facilitera la tâche de l'acteur en termes de flexibilité et de mises à jour futures du logiciel malveillant. Cela dit, il ne serait pas surprenant de voir apparaître à l'avenir de nouvelles versions ou variantes de ce logiciel malveillant.
Le groupe Silver Fox APT exploite un pilote vulnérable pour contourner la sécurité des terminaux
Un nouveau rapport de Check Point, intitulé « », explique comment le groupe APT Silver Fox a exploité un pilote vulnérable, signé par Microsoft et jusqu’alors inconnu, pour désactiver discrètement les protections des terminaux d’ et déployer le logiciel malveillant ValleyRAT.
Cette campagne met en évidence les lacunes majeures des modèles de confiance des pilotes ainsi que les limites des systèmes de défense basés sur les signatures dans le domaine de la cybersécurité moderne.
Principales conclusions du rapport de Check Point sur le groupe APT « Silver Fox »
À partir de la fin du mois de mai, Check Point a détecté une campagne « Silver Fox » qui ciblait des appareils Windows à l'aide d'un chargeur personnalisé. Ce chargeur personnalisé exploitait spécifiquement les pilotes du noyau pour mettre fin aux processus de sécurité. Vous trouverez dans le rapport une liste complète et « » des processus arrêtés : .
Selon Check Point, cette campagne « a marqué un tournant majeur, passant de l'utilisation exclusive de pilotes vulnérables connus au déploiement d'un pilote vulnérable signé, qui n'avait pas encore été répertorié et qui contournait les mécanismes de détection traditionnels ».
Silver Fox a déployé, au cours de l'attaque, le pilote anti-malware WatchDog, dont la vulnérabilité n'était pas connue du grand public et qui est légitimement signé par Microsoft. Ce pilote, associé à un autre pilote déployé dont on savait qu'il présentait une vulnérabilité, permettait de mettre fin à n'importe quel processus. La charge utile finale de cette attaque est la porte dérobée ValleyRAT, qui permet notamment l'exfiltration de données et l'exécution de commandes, et qui a permis d'attribuer cette attaque au groupe Silver Fox.
Les C2 serveurs impliqués dans l'attaque étaient tous hébergés en Chine et utilisaient des services cloud publics ou des services web. Du point de vue de la victimologie, Check Point a observé une tendance mondiale en matière de ciblage.
Le chargeur
Check Point a identifié plusieurs échantillons de chargeurs « tout-en-un » utilisés par le groupe APT Silver Fox, chacun étant conçu pour assurer la furtivité, la persistance et la diffusion de charges utiles. Ces chargeurs intègrent des routines anti-analyse qui détectent les environnements virtuels, les bacs à sable et certains FAI ; ils interrompent l'exécution s'ils identifient l'un de ces éléments. Ils assurent également la persistance en créant un dossier « RunTime » et en enregistrant des services afin de garantir leur exécution au démarrage.
Le chargeur intègre deux pilotes vulnérables sous forme de chaînes d'octets codées : l'un conçu pour désactiver les défenses des terminaux et l'autre pour déployer la porte dérobée ValleyRAT. Le pilote approprié est sélectionné en fonction de la version de Windows du système cible, ce qui permet au logiciel malveillant de s'adapter à différents environnements tout en échappant aux mécanismes de détection traditionnels.
Antivirus/EDR
Comme indiqué, la routine du programme malveillant EDR/AV est intégrée au chargeur. Le pilote vulnérable concerné sera supprimé en fonction de la version de Windows exécutée par l'appareil infecté.
Quel que soit le pilote utilisé, les fonctions de l'API Windows servent à créer les services nécessaires. La logique principale « parcourra une liste de Base64-encoded processus cibles à arrêter », qui contient 192 noms de processus. En cas de correspondance, le processus sera interrompu.
Nouveau conducteur vulnérable
Check Point a examiné de plus près ce pilote vulnérable, dont la vulnérabilité n'était pas connue auparavant. Il s'agit du pilote du logiciel anti-malware WatchDog, qui est signé de manière légitime.
Ce pilote, qui repose sur le SDK Zemana Anti-Malware, permet de mettre fin à des processus arbitraires sans avoir à vérifier si ces derniers s'exécutent en mode protégé, ce qui en fait un outil particulièrement adapté à la technique consistant à utiliser son propre pilote vulnérable.
Porte dérobée ValleyRAT
Tous les échantillons analysés par Check Point ont abouti au déploiement de la porte dérobée ValleyRAT. Pour éviter d'être détecté, il déclenchera une fonction de rappel via l'API Windows afin de détecter les processus associés à des outils d'analyse. S'il en détecte, il retardera son exécution d'une pause de 20 secondes et poursuivra l'énumération jusqu'à ce qu'aucun outil ne soit détecté.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'exploitation abusive des pilotes signés par Microsoft met en évidence une vulnérabilité systémique dans la manière dont la confiance est attribuée dans les environnements Windows. L'idée selon laquelle « signé » est synonyme de « sûr » est de plus en plus souvent exploitée par les pirates.
Lors de cette attaque, l'auteur a désactivé les solutions anti-malware, ce qui lui a permis d'échapper à la détection sans déclencher d'alertes. Cela met en évidence la nécessité d'une surveillance qui ne se limite pas aux signatures de fichiers, mais s'étende à des éléments tels que le comportement des pilotes.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium, pour lancer une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les menaces informatiques publiées dans « » :.
