Opérations cyber · GTG-30006
Développement d'outils de surveillance nationale : l'affaire GTG-30006
Cette page est une traduction du contenu des pages 107 à 110 du rapport d'Anthropic de septembre 2026. Ce site ne publie aucun code de logiciel malveillant, lien de phishing ni information pouvant servir à reproduire des attaques.
Selon le rapport, un acteur de menace iranien a utilisé 16 comptes gratuits Claude.ai répartis dans 16 organisations à opérateur unique pour développer des logiciels malveillants, des chaînes de livraison et des portails de phishing ciblant des utilisateurs iraniens nationaux. Les pages de livraison ont été conçues pour ne servir du contenu malveillant qu'aux visiteurs dont l'adresse IP est en Iran, avec des thèmes autour d'outils de contournement de la censure et de marques de presse en langue perse fabriquées. L'acteur a utilisé Claude pour développer l'implant modulaire Windows SECOMS64, comprenant un enregistreur de frappes, la capture d'écran, l'extraction d'identifiants Chrome, etc. Cette page ne publie aucun code de logiciel malveillant ni lien de phishing.
Ce qui s'est passé
Nous avons identifié un acteur de menace iranien qui a utilisé 16 comptes gratuits Claude.ai répartis dans 16 organisations à opérateur unique pour développer des logiciels malveillants, des chaînes de livraison et des portails de phishing ciblant des utilisateurs iraniens nationaux. Les pages de livraison ont été conçues pour ne servir du contenu malveillant qu'aux visiteurs dont l'adresse IP est en Iran. Les pages avaient pour thème des outils de contournement de la censure et des marques de presse en langue perse fabriquées.
Ce que l'IA a fait
L'acteur de menace a utilisé Claude pour l'ingénierie et les tests, décomposant le projet en demandes de développement web distinctes d'apparence bénigne. Les produits comprenaient un téléchargeur VBScript contrôlé via un bot Telegram, de fausses boîtes de dialogue d'identifiants Microsoft Excel et Windows, une fausse page de connexion antivirus ESET NOD32 qui envoie les identifiants capturés à Telegram, un appât de style ClickFix pour Win+R, des pages de destination V2Ray et des pages de livraison avec contrôle géographique. Claude a refusé neuf demandes directement malveillantes sur dix. Mais lorsque l'utilisateur a fragmenté le travail et demandé au modèle d'exécuter des tâches dans des sessions ultérieures plus petites, nos protections ont été moins constantes.
Dans une autre partie de l'activité, l'acteur de menace a utilisé Claude pour construire SECOMS64, un implant modulaire Windows. L'implant comprend un enregistreur de frappes, la capture d'écran, l'extraction d'identifiants Chrome contournant le chiffrement App-Bound, et la reconnaissance de Microsoft Defender et Intune. Les composants de soutien incluent un shell inverse PowerShell via des tunnels ngrok, la propagation par clés USB, un module de destruction de données de navigateur, et un téléchargeur de mise en scène récupéré depuis un service de partage de fichiers et modifié pour échapper à la détection antivirus.
La boîte à outils cible la surveillance personnelle. L'enregistreur de frappes capture les frappes lorsque l'application Telegram Desktop est au premier plan. Le composant de capture d'écran s'exécute sous forme d'exécutable nommé « Telegram » avec une icône correspondante et exfiltre les captures d'écran via un bot Telegram. Le module USB enregistre le numéro de série de chaque clé qu'il contacte, et les applications Android du même cluster téléversent les contacts, messages et médias de l'appareil. La persistance est stratifiée : clés d'exécution du registre, tâches planifiées au niveau d'exécution le plus élevé, fichiers batch d'auto-suppression et binaires déguisés en fichiers système Windows.
Ce que le rapport a observé
Le rapport confirme que l'acteur de menace a utilisé 16 comptes gratuits Claude.ai pour développer des logiciels malveillants et des outils de phishing.
Le rapport confirme que les pages de livraison ne servent du contenu malveillant qu'aux IP iraniennes, avec des thèmes autour d'outils de contournement de la censure et de marques de presse en perse.
Le rapport confirme que l'implant SECOMS64 comprend un enregistreur de frappes, la capture d'écran, l'extraction d'identifiants Chrome et d'autres capacités, ciblant la surveillance personnelle.
Ce site ne publie aucun code de logiciel malveillant, lien de phishing ni information pouvant servir à reproduire des attaques.
Confirmé et inconnu
Confirmé
- Le rapport confirme que l'acteur de menace a utilisé 16 comptes gratuits Claude.ai pour développer des logiciels malveillants et des outils de phishing
- Le rapport confirme que les pages de livraison ne servent du contenu malveillant qu'aux IP iraniennes
- Le rapport confirme que l'implant SECOMS64 comprend un enregistreur de frappes, la capture d'écran, l'extraction d'identifiants Chrome et d'autres capacités
- Le rapport confirme que la boîte à outils cible la surveillance personnelle, en particulier les utilisateurs de Telegram
Inconnu
- Si le logiciel malveillant a été utilisé dans des attaques réelles n'est pas précisé
- Le nombre de victimes n'est pas indiqué
- La véritable identité de l'acteur de menace n'est pas divulguée
Réponse de la plateforme
Anthropic a banni les comptes concernés et a notifié les parties pertinentes des résultats de l'enquête.
Limites de la réponse：Le bannissement de comptes ne peut pas empêcher l'acteur de menace de poursuivre le développement de logiciels malveillants avec d'autres outils.
À retenir
- L'IA peut être utilisée pour développer des logiciels malveillants et des outils de surveillance ; même lorsque les protections refusent les demandes directes, le travail fragmenté peut les contourner.
- Les pages de livraison avec contrôle géographique peuvent cibler des utilisateurs dans des pays spécifiques, rendant la détection plus difficile.
- Les enregistreurs de frappes et les composants de capture d'écran ciblant des applications spécifiques comme Telegram indiquent des objectifs de surveillance clairs.