Un cybercriminel russophone est parvenu à transformer Gemini CLI, l’outil open source de Google, en véritable assistant de piratage. En dialoguant avec l’IA en langage naturel, il lui a fait exécuter une série de tâches qui lui ont permis de gérer un petit botnet composé de huit machines.
L’information vient des chercheurs de Trend Micro. Pour arriver à cette conclusion, ils ont mené une enquête. Ils ont analysé près de 200 journaux de session appartenant à un acteur malveillant connu sous le pseudonyme bandcampro.
Les échanges, enregistrés entre le 21 avril et le 19 mai 2026, montrent que le pirate utilisait Gemini CLI. L’interface en ligne de commande de Google qui permet d’interagir directement avec les modèles Gemini depuis un terminal.
Comme toutes les IA, le modèle intègre des garde-fous. Mais il faut dire que le pirate a été ingénieux, alors il a réussi à le contourner. Comment ? En affirmant qu’il n’était rien de plus qu’un « testeur d’intrusion agréé ».
Cette ruse a fonctionné dans la plupart des cas, même si l’IA a refusé d’obéir à au moins une demande jugée trop sensible.
Gemini CLI au service d’un hacker russe
D’après les chercheurs, le hacker a compromis huit appareils appartenant à une clinique dentaire. L’objectif du pirate était notamment d’accéder à la base de données OpenDental.
L’IA lui a ensuite servi de véritable bras droit. Bandcampro lui a d’abord fourni un fichier détaillant toute l’architecture du botnet. Puis, les procédures de fonctionnement, les commandes d’infection, les mécanismes de persistance et les étapes de dépannage ont suivi.
Après lui avoir simplement demandé d’étudier la migration C2, Gemini CLI a analysé toute la documentation. Ensuite, il a préparé automatiquement le code ainsi que les différentes étapes nécessaires à la migration de l’infrastructure.
Selon Trend Micro, l’opération n’a pris qu’environ six minutes. L’IA a créé un package de migration contenant le code du serveur, les charges utiles et le fichier de configuration. Il a déployé le serveur de commande et de contrôle sur un VPS avant de mettre en place un tunnel Cloudflare.
Une fois cette étape terminée, le pirate a continué à utiliser Gemini CLI pour résoudre des problèmes de connectivité et automatiser plusieurs tâches courantes.
L’IA l’a notamment aidé à générer des variantes crédibles de mots de passe existants. Cela afin de tenter des connexions sur des sites WordPress. Elle a même contribué à effectuer d’autres opérations liées à la gestion quotidienne de son botnet.
- Partager l'article :
