Début 2025, Check Point Research a identifié une campagne de cyberattaque exploitant la popularité du service d’intelligence artificielle générative Kling AI. L’attaque commence par des publicités trompeuses sur les réseaux sociaux redirigeant vers un site web factice conçu pour inciter les utilisateurs à télécharger des fichiers malveillants. Tribune Check Point.
Une attaque ciblée par hameçonnage exploite la notoriété de Kling AI
Ces campagnes s’appuient sur de faux comptes et pages Facebook diffusant des fichiers infectés, lesquels déclenchent l’exécution d’un cheval de Troie d’accès à distance (RAT), permettant aux attaquants de prendre le contrôle du système compromis et de dérober des données sensibles.
Le logiciel malveillant utilisé dans cette campagne intègre des techniques avancées d’évasion, notamment le masquage de fichiers pour déguiser des exécutables malveillants en fichiers médias anodins, ainsi que des méthodes poussées d’anti-analyse pour éviter la détection.
Publicités frauduleuses et téléchargements piégés
Depuis début 2025, environ 70 publications sponsorisées frauduleuses promouvant à tort l’outil Kling AI ont été identifiées. Elles proviennent de pages Facebook falsifiées, imitant l’apparence de la société légitime.
Cliquer sur ces publicités renvoie l’utilisateur vers un faux site web qui reproduit fidèlement l’interface de Kling AI. Comme le véritable outil, le site invite à téléverser une image et à cliquer sur un bouton « Générer » pour obtenir un résultat produit par IA. Cependant, au lieu de générer un média, le site propose un fichier à télécharger, présenté comme un fichier archive contenant une image générée par IA.
Le fichier téléchargé, nommé par exemple Generated_Image_2025.jpg, affiche une icône d’image familière. Toutefois, ce fichier est en réalité un programme malveillant déguisé dont l’objectif est de compromettre le système de l’utilisateur. Cette technique, appelée masquage de nom de fichier, est couramment utilisée pour inciter à exécuter un logiciel malveillant sous couvert de fichier inoffensif.
Une fois ouvert, le programme s’installe silencieusement, se configure pour démarrer automatiquement à chaque démarrage du système, et vérifie s’il est surveillé par des outils de cybersécurité afin d’éviter la détection.
Étape 2 : Prise de contrôle silencieuse via des outils d’accès à distance
L’ouverture du fichier déclenche une menace plus grave : l’installation d’un cheval de Troie d’accès à distance (RAT), permettant aux attaquants de piloter l’ordinateur de la victime à distance.
Chaque version du RAT est légèrement modifiée pour contourner les protections, mais toutes contiennent un fichier de configuration masqué qui établit une connexion vers les serveurs des attaquants. Ces fichiers comportent des noms de campagne comme « Kling AI 25/03/2025 » ou « Kling AI Test Startup », suggérant des phases de test et des mises à jour en cours.
Le malware surveille ensuite l’activité du système, en particulier les navigateurs et extensions stockant des identifiants ou données sensibles, permettant aux attaquants de voler des informations personnelles et de maintenir un accès persistant.
Un schéma connu : origine probable vietnamienne
Même si l’identité exacte des auteurs reste inconnue, les indices pointent fortement vers des acteurs vietnamiens. Les campagnes de malvertising via Facebook et les maliciels associés sont des pratiques bien établies parmi certains groupes de cette région.
L’analyse a révélé plusieurs indices en ce sens, notamment des chaînes de débogage en vietnamien dans le code malveillant – un élément récurrent dans d’autres campagnes similaires.
Ces résultats s’inscrivent dans une tendance plus large, observée par d’autres chercheurs, concernant l’usage croissant de l’IA comme thème dans les campagnes de malveillance sur les réseaux sociaux.
Protéger les utilisateurs face aux nouvelles menaces liées à l’IA
Avec l’adoption croissante des outils d’IA générative, les cybercriminels multiplient les techniques exploitant la confiance accordée à ces plateformes. Cette campagne, fondée sur l’usurpation de l’image de Kling AI via des publicités frauduleuses et des sites web piégés, illustre comment les attaquants associent ingénierie sociale et malware sophistiqué pour accéder aux systèmes et données personnelles.
En combinant des méthodes telles que le masquage de fichiers, l’accès à distance et le vol de données, et compte tenu des indices géographiques, cette opération s’inscrit dans une tendance plus large d’attaques ciblées sur les réseaux sociaux.
