Les chercheurs de Trend Micro ont découvert qu’un pirate russe s’est massivement servi de Gemini, l’IA générative de Google, dans le cadre d’une cyberattaque. Le pirate, qui se fait appeler « bandcampro » sur le dark web, a utilisé le chatbot pour piloter à distance un petit botnet. Ce botnet était composé d’au moins huit ordinateurs appartenant à une clinique dentaire.
Dans le cadre de leurs investigations, les chercheurs ont mis la main sur plus de 200 journaux de sessions Gemini, couvrant la période du 19 mars au 21 avril 2026. Ces journaux montrent comment le cybercriminel a mis à profit Gemini pour faciliter ses activités.
À lire aussi : Cette cyberattaque chinoise a fait « des centaines de milliers de victimes » avec Gemini, Google contre-attaque
Une IA manipulée
Plutôt que de taper des commandes techniques, l’attaquant saisissait simplement ses demandes en russe dans l’interface de Gemini, comme s’il parlait à un collègue. Par exemple, le pirate pouvait demander « quelles machines sont en ligne », « quels fichiers sont sur le PC du docteur », ou encore « donne-moi le lien pour infecter une nouvelle machine ». L’intelligence artificielle obéissait alors en contactant le serveur de commande et de contrôle à la place du hacker. En pratique, c’est l’IA qui parle au serveur et gère le botnet. Le pirate ne voit que les résultats de ses demandes. Pour mener à bien ses intrusions, et se propager d’un ordinateur à un autre, il n’a pas besoin de grandes connaissances techniques. C’est Gemini qui se charge de la partie la plus compliquée.
Comme le souligne Trend Micro, le botnet reposait sur une infrastructure particulièrement simple, composée d’une poignée de fichiers. On y trouve notamment un document taillé pour manipuler Gemini, en lui expliquant qu’il agit comme testeur de sécurité autorisé, qu’il doit ignorer les avertissements et sauvegarder les identifiants sans poser de questions. Avec ce simple fichier, le pirate russe est parvenu à « jailbreaker » l’agent d’IA et à l’obliger à mener des opérations malveillantes.
À lire aussi : Cyberattaques chinoises et Gemini – Google s’attend à un « coup dur »
Une IA qui refuse parfois de coopérer
Les chercheurs ont remarqué que « bandcampro » n’est pas toujours parvenu à manipuler Gemini. Les protections de Gemini n’ont pas totalement disparu. Dans certains cas de figure, les demandes du cybercriminel ont été rejetées par l’IA. Le pirate a par exemple demandé à Gemini de créer et de déployer un malware capable de se propager automatiquement sur le réseau. Dans cette session, le modèle indique explicitement qu’il ne peut pas créer ce type de malware, même dans un prétendu environnement de test. Néanmoins, dans la plupart des sessions étudiées par Trend Micro, l’IA aide activement le pirate à résoudre des problèmes techniques, voire à améliorer l’efficacité de son opération.
Les journaux analysés par Trend Micro montrent que le botnet n’est qu’une partie des activités assistées par IA de « bandcampro ». Le pirate utilise aussi Gemini pour installer des logiciels, configurer des proxys résidentiels, scanner des mots de passe, ou encore analyser des bases de données d’identifiants compromis. Bref, Gemini est devenu l’un des outils principaux de l’arsenal du hacker russe.
« L’IA n’était pas seulement un assistant qui écrivait des bouts de code, mais aussi le principal agent de piratage, le consultant et l’interface de toute l’opération », explique Trend Micro.
Les chercheurs redoutent que d’autres cybercriminels se mettent à user des mêmes tactiques de manipulation de l’IA. La méthode employée par « bandcampro » tient dans quelques petits fichiers texte, faciles à envoyer à quelqu’un d’autre, ce qui risque d’en faciliter la propagation. N’importe quel hacker avec des connaissances techniques de base pourrait se retrouver en mesure de piloter un botnet.
« Avant l’IA, mener une opération comme celle-ci nécessitait d’engager quelqu’un possédant des années d’expérience spécialisée. Aujourd’hui, ce savoir tient dans un fichier de 5 Ko qu’un cybercriminel même non technique peut lire et utiliser », met en garde le rapport.
Ce pirate russe n’est pas un cas isolé. D’autres cybercriminels s’appuient de plus en plus sur l’intelligence artificielle générative de Google pour arriver à leurs fins. C’est le cas des truands à l’origine de PromptSpy. Ce virus Android se sert de Gemini pour espionner en temps réel l’écran du smartphone de sa victime.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Trend Micro
