Un script PowerShell truffé de commentaires soignés, des variables bien nommées, une gestion d’erreurs impeccable. À première vue, du code propre. Sauf que ce code est un virus, qu’il a été écrit par une intelligence artificielle, et qu’il a permis à des hackers de garder le contrôle d’un serveur pendant plus d’une semaine avant d’être repéré.
C’est la découverte que vient de rendre publique IBM X-Force dans un rapport détaillé. Le malware, baptisé « Slopoly » par les chercheurs, a été déployé lors d’une attaque par ransomware menée par Hive0163, un groupe spécialisé dans l’extorsion à grande échelle. Et son origine ne fait guère de doute : d’après l’analyse du code, il a très probablement été généré par un modèle de langage (LLM).
Un code trop « parfait » pour être humain
Ce qui a mis la puce à l’oreille des analystes d’IBM, c’est justement la propreté inhabituelle du script. Dans le monde du hacking, les malwares sont souvent des morceaux de code brouillons, avec des noms de variables cryptiques et zéro documentation. Slopoly, c’est tout l’inverse : des commentaires exhaustifs à chaque fonction, un logging structuré, des noms de variables qui décrivent précisément ce qu’elles font.
Autre indice révélateur : le script se présente en commentaire comme un « Polymorphic C2 Persistence Client », suggérant qu’il peut modifier son propre code pendant l’exécution. En réalité, il n’en fait rien. Cette tendance à promettre plus qu’il ne livre est un trait caractéristique des sorties de modèles d’IA, selon IBM X-Force : le code « prétend être plus avancé qu’il ne l’est réellement ».
Médiocre mais fonctionnel : le vrai problème
Techniquement, Slopoly n’a rien d’exceptionnel. C’est un script PowerShell qui collecte les informations système de la machine infectée, envoie un signal de présence toutes les 30 secondes à un serveur de commande et contrôle (C2), et exécute les ordres reçus via cmd.exe. Il maintient un fichier journal local et s’installe dans le dossier système Windows sous le nom « Runtime Broker », un processus légitime de Windows, pour passer inaperçu.
L’équipe d’IBM n’a pas pu déterminer quel modèle d’IA a été utilisé pour le générer, mais la qualité du code suggère un modèle « moins avancé ». Malgré cette médiocrité technique, le résultat a fonctionné : Hive0163 a maintenu un accès persistant au serveur compromis pendant plus de huit jours grâce à Slopoly, en complément de deux autres portes dérobées plus sophistiquées, NodeSnake et InterlockRAT.
ClickFix : l’arnaque qui ouvre la porte
L’intrusion a commencé par une technique d’ingénierie sociale baptisée ClickFix, que BleepingComputer documente régulièrement. Le principe : la victime tombe sur une fausse page de vérification CAPTCHA qui copie un script malveillant dans le presse-papiers. Elle est ensuite invitée à ouvrir la boîte de dialogue « Exécuter » de Windows (Win+R), coller le contenu (Ctrl+V) et appuyer sur Entrée. En quelques secondes, le malware NodeSnake s’installe, ouvrant la voie au déploiement d’InterlockRAT puis de Slopoly.
Le groupe Hive0163, suivi par IBM depuis plusieurs mois, est responsable de multiples attaques majeures utilisant le ransomware Interlock. Parmi leurs victimes connues : le système universitaire Texas Tech, le groupe médical DaVita (27 millions de patients exposés) et la ville de Saint Paul dans le Minnesota, comme le rapporte BleepingComputer.
Le début d’une course aux armements
IBM X-Force est catégorique : Slopoly n’est qu’un début. Le rapport souligne que d’autres équipes de recherche ont déjà identifié des cas similaires. CheckPoint Research a documenté VoidLink, un framework malveillant intégrant de l’IA agentique dans sa chaîne d’attaque. ESET a analysé PromptSpy, un malware Android qui utilise l’IA générative pour s’adapter à son environnement, comme nous le détaillions dans un précédent article. Et le rapport 2026 de Palo Alto Unit 42 sur la réponse aux incidents confirme des observations similaires d’utilisation d’IA dans des attaques par ransomware.
Le constat d’IBM rejoint celui de Unit 42 : l’IA ne crée pas (encore) de menaces techniquement nouvelles. Ce qu’elle change, c’est la vitesse. Un attaquant qui aurait mis des semaines à développer un outil de persistance peut désormais le faire en quelques heures, voire quelques minutes. Le rapport IBM note que les barrières de sécurité du modèle utilisé, si elles existaient, ont été contournées avec succès : les noms de variables du script indiquent clairement que le modèle savait qu’il produisait du code malveillant.
Pour les défenseurs, l’enjeu est concret. Si un code « médiocre au mieux », selon les termes d’IBM, suffit à maintenir un accès pendant huit jours sur un serveur d’entreprise, les versions suivantes, générées par des modèles plus puissants ou affinées par des développeurs expérimentés, risquent d’être nettement plus difficiles à détecter. Palo Alto prévoit dans son rapport que l’IA générative deviendra un composant standard de l’arsenal des groupes ransomware d’ici la fin 2026.
