Plutôt que de miser sur des implants hautement sophistiqués, APT36 industrialise la production de malwares jetables générés en volume. Les chercheurs observent une multiplication rapide de variantes, parfois imparfaites sur le plan logique, mais suffisamment opérationnelles pour être déployées massivement. L’objectif est clair : saturer les capacités de détection et compliquer la réponse des équipes de sécurité.
Avec le vibeware, une nouvelle stratégie d’attaque fondée sur un modèle de production de malwares assisté par l’IA se dessine. L’objectif n’est pas de créer des implants plus sophistiqués, mais de réécrire la même logique malveillante dans de multiples langages de programmation peu utilisés afin de multiplier les variantes et de saturer les mécanismes de détection. Pour les organisations, l’enjeu n’est donc plus seulement d’identifier un implant sophistiqué, mais de faire face à une prolifération rapide de variantes capables de se fondre dans un trafic considéré comme légitime.
Des langages exotiques pour brouiller les repères
Les implants malveillants développés et déployés par APT36 sont écrits dans des langages peu courants comme Nim, Zig, Crystal, Rust ou Go. En s’éloignant des environnements traditionnellement surveillés, le groupe cherche à déstabiliser les moteurs de détection dont les signatures sont majoritairement calibrées sur des langages plus répandus.
Cette diversification s’accompagne d’infections parallèles. Plusieurs implants, reposant sur des langages et des canaux distincts, peuvent coexister sur un même système. Si un vecteur est neutralisé, un autre peut rester actif. Cette approche s’apparente à un déni distribué de détection.
Détournement de services cloud légitimes
Le recours aux pratiques de Living Off Trusted Services constitue un autre pilier de cette stratégie. Les canaux de commande et de contrôle identifiés incluent Slack, Discord, Google Sheets, Supabase ou Azure Front Door. En s’appuyant sur ces plateformes largement utilisées en entreprise, les communications malveillantes se fondent dans un trafic considéré comme légitime. Des artefacts techniques confirment l’usage d’outils d’IA dans le développement de ces implants. L’approche repose sur la production massive et la déclinaison rapide de variantes, plutôt que sur une sophistication technique accrue.
