le malware IA qui vole vos identifiants navigateur

La veille cybersécurité permanente s'impose désormais comme une nécessité opérationnelle pour les équipes de sécurité : elle permet d'anticiper les menaces émergentes, de prioriser les actions de remédiation et d'adapter les stratégies de défense en temps réel. L'actualité du secteur est marquée par une accélération sans précédent des attaques, des vulnérabilités et des incidents affectant organisations publiques et privées. Dernière illustration en date : le DeepLoad malware ClickFix, un infostealer piloté par intelligence artificielle qui détourne la mécanique d'ingénierie sociale ClickFix pour inciter l'utilisateur à exécuter lui-même une commande malveillante. Une fois déployé, il siphonne les identifiants, cookies de session et jetons d'authentification stockés dans les navigateurs, contournant au passage l'authentification multifacteur. Comprendre son mode opératoire, ses vecteurs de diffusion et les mesures de détection associées devient indispensable pour protéger durablement vos postes de travail et vos accès à privilèges.

Ce qui s'est passé

Les chercheurs de ReliaQuest ont identifié un malware loader inédit baptisé DeepLoad, distribué via des campagnes ClickFix. Cette technique d'ingénierie sociale, désormais omniprésente dans le paysage des menaces, incite les victimes à copier-coller une commande PowerShell dans la boîte de dialogue Exécuter de Windows, sous prétexte de résoudre un problème technique fictif. La commande déclenche le téléchargement du loader via mshta.exe, un utilitaire Windows légitime.

Une fois installé, DeepLoad déploie simultanément un stealer autonome et une extension navigateur malveillante. Le vol d'identifiants commence immédiatement : mots de passe enregistrés, cookies de session, et frappes clavier sont capturés en temps réel. Selon les analystes, le malware emploie une obfuscation vraisemblablement générée par IA et de l'injection de processus pour échapper aux scanners statiques, une approche qui rappelle d'autres campagnes récentes comme Slopoly, le ransomware généré par IA.

L'aspect le plus préoccupant réside dans son mécanisme de persistance : DeepLoad crée un abonnement WMI (Windows Management Instrumentation) qui réexécute silencieusement l'attaque trois jours après un nettoyage, sans interaction utilisateur ni commande de l'attaquant. Cette technique brise les chaînes de processus parent-enfant que la plupart des règles de détection EDR surveillent, rendant la détection par les outils classiques particulièrement difficile.

Pourquoi c'est important

DeepLoad illustre la convergence de deux tendances majeures de 2026 : l'industrialisation de ClickFix comme vecteur de diffusion et l'utilisation de l'IA pour l'obfuscation de malware. Depuis janvier, les campagnes ClickFix se sont multipliées — ciblant macOS via Infinity Stealer, les développeurs via de fausses alertes VS Code sur GitHub, ou encore les entreprises via des ransomwares comme LeakNet.

La persistance WMI de DeepLoad constitue un défi majeur pour les équipes de réponse à incident. Un poste apparemment nettoyé peut se réinfecter automatiquement sans qu'aucune alerte ne soit déclenchée, ce qui impose de vérifier systématiquement les souscriptions WMI lors de tout processus de remédiation.

Ce qu'il faut retenir

• Sensibilisez vos utilisateurs à ne jamais exécuter de commandes copiées depuis un site web, même si elles semblent résoudre un problème système.
• Intégrez la vérification des souscriptions WMI dans vos procédures de réponse à incident (Get-WMIObject -Namespace rootSubscription -Class __EventFilter).
• Bloquez l'exécution de mshta.exe par GPO pour les utilisateurs standards — c'est le vecteur initial de DeepLoad.

Plan de remédiation et mesures correctives

La remédiation de cette problématique nécessite une approche structurée en plusieurs phases. En priorité immédiate, les équipes de sécurité doivent identifier les systèmes exposés, appliquer les correctifs disponibles et mettre en place des règles de détection temporaires. À moyen terme, il convient de renforcer l'architecture de sécurité par la segmentation réseau, le durcissement des configurations et le déploiement de solutions de monitoring avancées. À long terme, l'adoption d'une approche Zero Trust, la formation continue des équipes et l'intégration de la sécurité dans les processus DevOps permettent de réduire structurellement la surface d'attaque et d'améliorer la résilience globale de l'infrastructure.