ThreatsDay : AI Search Poisoning, AI Coding Tool Leaking Repos, One-Click Code Execution et 13 autres cas (24 septembre 2026)

Points clés

• AI-Assisted Banking Trojan (RemControl) : Malware distribué via des pages fausses sur Google Play, impersonnant l'application TVTap. Il exploite le service d'accessibilité Android pour injecter des interfaces de phishing sur les applications bancaires, enregistrer les saisies clavier et offrir un contrôle distant. Le C2 utilise un dead-drop chiffré sur Telegram, avec des traces d’AI dans les pages phishing (réponses d’assistant AI intégrées) et des commentaires en russe. Les campagnes partagent des noms, des mécanismes et des liens avec le botnet Medusa UNKN.

• AI Code Privacy Concern (Z.ai) : La plateforme Z.ai a désactivé des fonctionnalités de son assistant ZCode après qu’un paramètre par défaut ait été découvert pour envoyer des répertoires locaux de code vers des serveurs d’Alibaba Cloud en Chine sans consentement. Ce cas s’inscrit dans une tendance croissante : des outils d’IA peuvent exposer des données sensibles, comme le cas de Grok Build (SpaceXAI) qui a uploadé des dépôts Git entiers vers Google Cloud Storage.

• Accès critique à l’infrastructure (CISA & FBI) : L’agence américaine CISA et le FBI ont publié un document pour les opérateurs de l’infrastructure critique, mettant en garde contre les accès excessifs accordés à des intégrateurs tiers de systèmes de contrôle industriel (ICS). Ils recommandent le principe de moindre privilège (PoLP) pour limiter les risques d’exploitation par des acteurs malveillants.

• Surveillance par l’application MAX (Russie) : L’application MAX, développée par VK, révèle des capacités de surveillance actives : capture de captures d’écran sans permissions, accès complet aux données locales des mini-apps, injection de JavaScript en temps réel, médiation du trafic réseau via un proxy GOST TLS (dans la version russe), et impersonation silencieuse des sessions utilisateur.

• Phishing par faux giveaway (Claude Max) : Une campagne de phishing a utilisé une fenêtre de connexion Google simulée (bitB) pour voler les identifiants. Elle ne demande pas de données de carte ni de téléchargement, mais propose un « forfait gratuit » et demande une authentification Google, qui ouvre une fenêtre de navigateur embarquée, sans sécurité réelle.

• Évasion EDR par Process Parameter Poisoning : Une technique révélée en juillet 2026 (Max Hirschberger & Ogulcan Ugur) permet d’injecter du code dans des processus étrangers sans déclencher les mécanismes d’EDR. Flashpoint a publié un exemple en Rust, montrant comment la spoofing des paramètres de processus et le hijacking de threads permettent d’éviter les détections classiques.