Cette semaine, l'équipe Cyber Threat Intelligence (CTI) de Tanium examine comment les cybercriminels ciblent de plus en plus les entreprises de transport routier et de logistique en déployant des outils de surveillance et de gestion à distance (RMM) qui semblent légitimes. Dans la suite de la série « », nous nous penchons sur SesameOp, une porte dérobée récemment découverte qui exploite l’API OpenAI Assistants comme canal de commande et de contrôle (C2) dissimulé. Enfin, sur , nous résumons les principales conclusions du rapport « Cybersecurity Forecast 2026 » récemment publié par Google, qui prévoit une utilisation croissante de l'IA par les cybercriminels.
Des cybercriminels exploitent les outils RMM pour cibler les entreprises de transport routier et de logistique
Selon l'étude « » de Proofpoint, les cybercriminels ciblent de plus en plus les entreprises de transport routier et de logistique en déployant des outils d'accès à distance d'apparence légitime par le biais de campagnes de phishing de type « », ce qui leur permet de pirater des comptes de courtiers et de dérober des marchandises.
Ces attaques ont entraîné une forte augmentation des pertes liées aux vols de marchandises à l'échelle mondiale, ce qui a suscité des appels pressants en faveur d'un renforcement des contrôles RMM et d'une sécurité accrue des e-mails.
Qu'est-ce que le vol de marchandises ?
Le vol de marchandises recouvre toute une série d'activités qui aboutissent, en fin de compte, au vol de marchandises pendant leur transport. Elle est souvent le fait d'organisations criminelles structurées. Le rapport de Proofpoint porte plus particulièrement sur les vols de marchandises en Amérique du Nord, bien que ce ne soit pas la seule région où ce phénomène se produit.
Une grande partie des vols de marchandises commis aujourd’hui à l’aide de moyens informatiques repose sur une combinaison d’ , d’ingénierie sociale et de connaissances du secteur. Ces attaques commencent généralement par la compromission d'un compte sur une plateforme de chargement de transporteurs, que Proofpoint décrit comme une « place de marché utilisée par les entreprises pour faciliter la réservation de chargements pour les camions ». Grâce à ce compte piraté, le pirate peut publier une fausse commande pour lancer l'attaque.
Détails de la campagne
Proofpoint surveille de près un groupe malveillant à l'origine d'attaques visant le vol de marchandises. Ce groupe, dont on estime qu'il est actif depuis au moins juin 2025, a été observé en train d'utiliser des outils RMM et des logiciels d'accès à distance, souvent conjointement. Une fois que ces outils auront permis d'établir un premier accès, l'acteur entamera sa phase de reconnaissance et déploiera divers outils de collecte d'identifiants.
Proofpoint souligne que d'autres chercheurs ont mis en évidence des activités recourant à des tactiques, techniques et procédures (TTP) ainsi qu'à une infrastructure similaires, ce qui laisse penser que ces activités pourraient remonter à une date antérieure au mois de juin. Proofpoint a également suivi une campagne totalement distincte, menée entre le 2024 et le mai 2025 , dans le cadre de laquelle un acteur a pris pour cible des organismes de transport à l'aide de divers logiciels malveillants, bien que cette activité ne puisse pas être entièrement attribuée au même acteur.
L'acteur a été surpris en train de pirater des sites d'annonces de transport et de publier de fausses informations malveillantes concernant des chargements, de détourner des fils de discussion par e-mail et de lancer des campagnes d'e-mails directes.
À ce stade, on n'a pas constaté que cet acteur ciblait des entreprises en particulier. L'acteur semble s'en prendre à toute une série d'organisations, ce qui donne l'impression que ses attaques relèvent davantage de l'opportunisme.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Cette campagne constitue un nouvel exemple illustrant comment les acteurs malveillants exploitent des logiciels RMM de confiance pour contourner les contrôles de sécurité traditionnels, ce qui souligne la nécessité d'une surveillance rigoureuse des activités d'accès à distance.
L'auteur de cette campagne utilise actuellement plusieurs autres techniques courantes, telles que l'exploitation abusive de la confiance au sein d'une chaîne d'approvisionnement. Les organisations devraient envisager de mettre en place des processus permettant de lutter contre plusieurs menaces à la fois. Les conclusions de Proofpoint soulignent également la nécessité d'une collaboration entre les services chargés de la sécurité physique et ceux chargés des opérations.
SesameOp utilise l'API OpenAI Assistants pour C2 communications
A new Microsoft report sheds light on SesameOp, a newly discovered backdoor that uses the OpenAI Assistants API as a covert C2 channel and enables attackers to issue encrypted tasks and exfiltrate data without relying on traditional infrastructure.
L'API OpenAI Assistants permet aux développeurs et aux organisations de créer des agents IA personnalisés pour des tâches, des domaines et des flux de travail spécifiques. Microsoft souligne qu'il s'agit d'une utilisation abusive d'API légitimes, et non d'une vulnérabilité, et recommande de surveiller le trafic de l'API OpenAI et d'activer les protections avancées de Defender.
Analyse technique
Microsoft a découvert un acteur malveillant qui intégrait l'API OpenAI Assistants dans une porte dérobée. L'auteur de la menace a procédé ainsi afin de créer un canal C2 , plutôt que de mettre en place ou d'utiliser une infrastructure dédiée distincte.
Au cours de son enquête, Microsoft a identifié plusieurs techniques utilisées pour dissimuler les communications, notamment la compression des données utiles et le chiffrement en plusieurs couches.
La chaîne d'infection comprend un programme de chargement appelé « Netapi64.dll » ( ) et une porte dérobée appelée « OpenAiAgent.Netapi64 » (), que Microsoft décrit plus en détail.
Chargeur Netapi64.dll
Il a été constaté que ce chargeur avait été obfusqué à l'aide de l'outil Eazfuscator.NET. Le fichier Netapi64.dll crée un fichier dans le dossier Windows\Temp et génère un mutex afin qu'une seule instance de celui-ci soit active en mémoire à la fois. Le chargeur répertorie ensuite les fichiers contenus dans le dossier « Temp » , à la recherche d’un fichier se terminant par « Netapi64 » afin de le décoder et de l’exécuter.
Porte dérobée OpenAIAgent.Netapi64
Microsoft a analysé la porte dérobée présente dans cette chaîne d'infection et a déterminé qu'elle n'utilisait ni les SDK d'agent OpenAI ni les fonctionnalités d'exécution. Il utilise plutôt l'API OpenAI Assistants pour récupérer les commandes. Au fur et à mesure qu'il exécute les commandes reçues, il renverra les résultats à OpenAI sous forme de message.
Lorsque la porte dérobée se lance, elle crée un mutex « », lit sa configuration et l'analyse. La configuration analysée comprend plusieurs éléments :
- La première qui dispose de la clé API OpenAI «
» : - La seconde est utilisée comme sélecteur de clés dans le dictionnaire «
» : - Le troisième, qui précise l'adresse du proxy
:
Microsoft a constaté que le code utilise l'adresse du proxy si celle-ci est disponible ; toutefois, si aucune adresse de proxy n'est détectée, il utilise le système de proxy Web par défaut.
Cette porte dérobée « interrogera la liste de stockage vectoriel d'OpenAI à l'aide de l'API OpenAI Assistants et de la clé API codée en dur ». Une fois ces informations obtenues, le système rassemblera la liste des assistants du compte OpenAI ; Microsoft précise toutefois que cette liste est limitée à 100 éléments et que « la pagination est régie par la limite de l' , définie par le paramètre de requête ».
Chaque « Assistant » reçu comporte plusieurs champs, dont le champ « description ». Si ce champ est défini sur « SLEEP », cela entraînera finalement une opération de mise en veille du thread. Si ce champ est défini sur « Payload », cela lancera un thread pour l'exécution, déchiffrera et convertira les messages en un dictionnaire, puis récupérera une clé à partir de la configuration.
Par la suite, la méthode `executeWithJScriptEngine` de l' , accessible via l' , utilisera la réflexion pour charger un module .NET intégré tout en appelant une méthode supplémentaire. La méthode supplémentaire, appelée « Frameworks » (), exécutera une valeur issue de la configuration à l'aide de JScript, puis compressera et chiffrera le résultat à l'aide des algorithmes AES et RSA avant de le renvoyer à OpenAI sous le même identifiant de thread.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Adversaries are increasingly exploiting legitimate AI services for covert operations, making traditional C2 detection methods less effective.
À mesure que les organisations poursuivront leur intégration de l'IA, les pirates continueront à exploiter les services d'IA à des fins malveillantes. Étant donné que le trafic vers les API d’OpenAI peut paraître inoffensif et crypté, il peut s’avérer nécessaire pour les organisations de repenser leurs stratégies actuelles de surveillance du réseau et de s’assurer que les points de terminaison des services d’IA sont pris en compte dans les processus de détection des menaces de l’ .
Microsoft a également inclus, à la fin de son rapport, des conseils utiles sur les mesures d'atténuation et de protection contre le virus « » .
Google met en garde contre l'adoption croissante de l'IA malveillante dans le rapport 2026
Le rapport « Cybersecurity Forecast 2026 » de Google, intitulé « », prévoit que le paysage de la cybersécurité sera marqué par l'utilisation généralisée de l'IA par les cybercriminels pour mener des attaques plus rapides et plus sophistiquées. Parallèlement, les responsables de la sécurité adopteront de plus en plus des agents d'IA afin de renforcer leurs opérations de sécurité, une évolution qui ouvre la voie à de nouveaux risques tels que l'injection de prompts et les agents fantômes.
Google prévoit également que les ransomwares et l'extorsion de données resteront prédominants, tandis que les menaces émanant d'États-nations s'intensifieront. Par conséquent, les organisations doivent privilégier des défenses proactives à plusieurs niveaux ainsi qu’une gouvernance de l’IA afin de préserver leur résilience.
IA : une menace grandissante ( 2026)
Selon Google, les cybercriminels adopteront pleinement l'IA en 2026, une prévision partagée par l'ensemble de la communauté de la cybersécurité. Le rapport prévoit que l'utilisation de l'IA par les acteurs évoluera au-delà de son état actuel et aura un impact plus important sur le paysage des menaces, dans la mesure où ces acteurs continueront à s'en servir pour améliorer leurs opérations. Il est également probable que les acteurs malveillants exploitent des systèmes autonomes pour intensifier leurs attaques.
Parmi les autres prévisions, on peut citer une augmentation « d’ » des injections immédiates visant à manipuler l’ de l’IA, des techniques d’ingénierie sociale plus sophistiquées rendues possibles par l’IA, ainsi que de nouveaux défis découlant de l’adoption rapide des agents d’IA.
Perspectives en matière de cybercriminalité pour 2026
Google estime que les problèmes actuels liés aux ransomwares et au chantage persisteront jusqu'en 2026, ce qui en fera « la catégorie de cybercriminalité la plus préjudiciable sur le plan financier à l'échelle mondiale ». Cette situation s'explique en grande partie par l'augmentation constante du nombre d'incidents sur l'ensemble du secteur 2025. Le rapport de Google souligne également que l'adoption croissante des cryptomonnaies et des actifs tokenisés ne fera qu'élargir davantage la surface d'attaque.
Google prévoit un changement d'orientation de la part des acteurs malveillants, qui se concentreront davantage sur l'infrastructure de virtualisation sous-jacente, qui s'avère désormais être un angle mort critique. Cette prévision s'inscrit dans le cadre d'une évolution tactique où les acteurs s'efforcent d'obtenir un impact maximal en rencontrant le moins de résistance possible. Les menaces pesant sur les systèmes de contrôle industriels (ICS) et les technologies opérationnelles (OT) devraient également perdurer.
Acteurs étatiques : prévisions concernant la Russie, la Chine, l'Iran et la Corée du Nord
Google a analysé les dernières cyberopérations menées par des États, notamment la Russie, la Chine, l'Iran et la Corée du Nord, et a formulé les prévisions suivantes :
- Les acteurs étatiques russes devraient probablement dépasser leur focalisation exclusive sur le soutien au conflit en Ukraine pour se tourner vers des objectifs stratégiques mondiaux à plus long terme.
- La Chine devrait continuer à devancer les autres pays grâce à une activité très dynamique qui optimise l'échelle de ses opérations.
- Les acteurs étatiques iraniens vont intensifier leurs activités de cyberespionnage, en raison de l'escalade des tensions régionales.
- La Corée du Nord devrait maintenir ses objectifs actuels en matière de génération de recettes, notamment grâce à l'activité des informaticiens de l' ,.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
L'IA n'est plus seulement un outil défensif. Selon Google, c'est désormais une arme entre les mains des adversaires. Ainsi, les organisations qui ne mettent pas en place une gouvernance solide en matière d'IA risquent de transformer cette innovation en vulnérabilité.
De même, l'essor des agents d'IA entraînera un changement de paradigme dans la gestion des identités et des accès. C'est pourquoi considérer les agents d'IA comme des identités numériques prioritaires n'est pas une option, mais un principe fondamental.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur ou sur le forum de discussion de Tanium pour lancer une discussion.
Pour en savoir plus, consultez nos derniers résumés d' s sur les cybermenaces publiés par :.
