Microsoft a neutralisé une attaque de phishing où l’IA servait à masquer du code malveillant dans un fichier SVG, illustrant une nouvelle guerre algorithmique.
En bref
Une campagne de phishing a utilisé des fichiers SVG piégés contenant du code généré par IA pour contourner les détections classiques et piéger les victimes potentielles.
Microsoft Threat Intelligence a identifié et bloqué cette opération grâce à Defender for Office 365, démontrant la capacité de ses systèmes à détecter des signaux inhabituels.
Les attaquants ont encodé le code malveillant avec des termes liés au monde des affaires, rendant l’analyse plus complexe et trompeuse pour les analystes comme pour les outils.
Bien que limitée géographiquement, cette campagne illustre une tendance plus large : l’utilisation croissante de l’IA par les cybercriminels pour affiner et renforcer leurs attaques.
L’essor de l’intelligence artificielle transforme la cybersécurité en profondeur, autant du côté des défenseurs que de celui des attaquants. Une récente enquête menée par Microsoft a mis en évidence une campagne de phishing qui utilisait du code généré par un modèle de langage pour masquer ses charges utiles. Derrière un fichier SVG apparemment anodin, les cybercriminels avaient dissimulé un mécanisme sophistiqué conçu pour dérober des identifiants. Cette affaire révèle les nouvelles dynamiques de la lutte numérique : les outils basés sur l’IA deviennent un champ de bataille où innovation et contournement s’affrontent.
Un fichier SVG manipulé pour paraître légitime
La campagne observée débutait par l’envoi d’emails frauduleux depuis un compte d’entreprise compromis. Ces messages contenaient une pièce jointe nommée par exemple « 23mb – PDF- 6 pages.svg », volontairement présentée comme un document PDF. Derrière cette extension se cachait un format textuel exploité par les attaquants pour embarquer du JavaScript. Les fichiers SVG (Scalable Vector Graphics), bien qu’originellement conçus pour la représentation graphique, offrent des capacités scriptables qui les rendent attractifs pour des usages malveillants. Ils permettent notamment d’intégrer des éléments invisibles, des instructions encodées ou des exécutions différées, compliquant ainsi la détection automatique.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Lors de l’ouverture, le fichier redirigeait l’utilisateur vers une page affichant un CAPTCHA factice. Cette étape, classique dans les campagnes de manipulation, visait à instaurer un climat de confiance et à retarder les soupçons. Bien que bloquée rapidement, l’attaque aurait vraisemblablement conduit les victimes vers une fausse page de connexion, dans l’objectif de collecter leurs identifiants.
Plusieurs techniques d’obfuscation renforçaient l’illusion. Les attaquants avaient structuré le code pour imiter un tableau de bord de performance commerciale, avec des graphiques et des labels mensuels rendus invisibles à l’affichage. En parallèle, des suites de mots liés au vocabulaire économique (revenu, risque, opérations, actions) servaient de vecteur d’encodage. Ce langage d’affaires, utilisé comme camouflage, permettait de transformer des instructions malveillantes en apparentes métadonnées anodines.
L’empreinte de l’IA dans la conception du code
L’analyse réalisée avec Security Copilot, l’outil d’IA de Microsoft, a montré que le fichier comportait des indices caractéristiques de génération automatisée. Le code se distinguait par une complexité inutile, une verbosité excessive et des structures modulaires surdimensionnées. Les noms de fonctions et variables suivaient un schéma particulier : termes descriptifs en anglais, associés à des chaînes hexadécimales aléatoires. Cette combinaison est typique d’un modèle de langage génératif qui cherche à éviter les répétitions et à brouiller les pistes.
Des commentaires abondants et génériques complétaient le tout, imitant un langage d’entreprise. Cette production, bien trop formelle et surdocumentée, trahissait l’usage d’une intelligence artificielle. Même l’inclusion de déclarations XML et de blocs CDATA, superflues pour la fonctionnalité réelle, correspondait davantage à une approche algorithmique cherchant la complétude qu’à une écriture humaine. Ces « artefacts synthétiques » deviennent paradoxalement des indicateurs exploitables pour les systèmes de détection avancés.
Si cette campagne était limitée en taille et en portée géographique, elle marque un tournant : l’adoption de l’IA par des acteurs malveillants pour optimiser leurs méthodes. Le recours à des modèles de langage permet d’automatiser l’encodage, de multiplier les variantes et de compliquer l’analyse. Cette industrialisation par l’IA rapproche le phishing des logiques de production logicielle à grande échelle.
La réponse des systèmes de défense basés sur l’IA
Face à ces évolutions, les solutions défensives s’appuient elles aussi sur l’intelligence artificielle. Selon Microsoft, son modèles de détection ne se limite pas au contenu du fichier : il analyse également l’infrastructure utilisée, les comportements du message et les techniques d’usurpation. Ces signaux restent pertinents, que le code soit écrit par un humain ou généré par un algorithme.
Ainsi, la combinaison d’indices comme l’usage d’adresses expéditeur/destinataire identiques, la présence de destinataires cachés (BCC), l’extension de fichier trompeuse ou encore la redirection vers un domaine suspect, a permis de déjouer la tentative. L’automatisation défensive transforme ces marqueurs en alertes exploitables, renforçant la résilience face à des menaces hybrides.
Microsoft recommande d’activer des protections complémentaires telles que Safe Links, qui analyse les URL au moment du clic, ou encore Zero-hour auto purge (ZAP), capable de neutraliser rétroactivement les emails malveillants. L’adoption de méthodes d’authentification résistantes au phishing, comme les clés de sécurité, s’inscrit aussi dans cette stratégie de défense multicouche.
Ces pratiques, associées à l’usage de l’IA pour la détection comportementale et contextuelle, montrent que la bataille ne se joue pas uniquement sur le terrain technique du code. Elle repose sur une capacité d’anticipation et sur une adaptation continue des outils défensifs aux innovations adverses.
La multiplication des attaques mêlant IA et phishing souligne l’urgence d’une veille proactive et d’une formation accrue des utilisateurs. Car si l’IA permet d’automatiser les pièges, elle offre également aux défenseurs des leviers inédits pour les contrer.
Pour en savoir plus
IA vs. IA : Détecter une campagne d’hameçonnage masquée par l’IA | Blog sur la sécurité Microsoft
Microsoft Threat Intelligence a récemment détecté et bloqué une campagne de phishing d’informations d’identification qui utilisait probablement du code généré par l’IA pour obscurcir sa charge utile et échapper aux défenses traditionnelles, démontrant une tendance plus large des attaquants à exploiter l’IA pour augmenter l’efficacité de leurs opérations et soulignant la nécessité pour les défenseurs de comprendre et d’anticiper les menaces liées à l’IA.
Serveurs, API, temps de veille...
DCOD est indépendant et sans revenus. Soutenez le site pour l'aider à couvrir ses frais techniques.
