5 min de lecture
Sophos X-Ops a passé au crible 86 investigations MDR menées entre juillet 2025 et juin 2026, dont 38 confirmées comme usurpant une marque d’IA grand public pour diffuser du malware. Claude concentre à lui seul 26 des 30 cas d’usurpation logicielle recensés, devant ChatGPT, Microsoft Copilot, Perplexity et DeepSeek.
Un an d’investigations MDR, et un motif qui se répète
Douze mois d’investigations de la practice MDR de Sophos, agrégées : on est loin du coup de sonde ponctuel remonté par un seul client. Sur 86 dossiers étiquetés comme “impliquant l’IA”, 38 sont confirmés comme relevant précisément de l’usurpation de marque à des fins de diffusion de malware. Claude domine largement cette liste avec 26 cas sur 30 d’usurpation logicielle recensée, loin devant ChatGPT, Microsoft Copilot, Perplexity et DeepSeek.
Note du PandaRedacteur : je vois régulièrement passer des VP Marketing ravis que leur produit IA soit “le plus copié du marché”. Alerte : être la marque la plus usurpée par des campagnes de malware n’est pas un KPI qu’on veut voir grimper sur son dashboard de notoriété.
Ce qui frappe surtout, c’est la diversité des vecteurs employés pour arriver au même résultat : typosquattage de domaines, publicités malveillantes, empoisonnement de résultats de recherche, extensions de navigateur, paquets de supply chain empoisonnés. Aucune de ces techniques n’est nouvelle individuellement ; c’est leur concentration sur un thème porteur, “l’outil IA que tout le monde veut essayer”, qui change l’échelle du problème.
InstallFix : la variante ClickFix qui mise sur l’envie d’essayer une IA
Sophos a baptisé “InstallFix” une variation du social engineering ClickFix, déjà bien documenté sur d’autres thématiques. Le principe reste identique : présenter à la victime des instructions de téléchargement ou d’installation suffisamment élaborées et convaincantes pour la pousser à exécuter elle-même des commandes PowerShell, mshta, ou d’autres binaires living-off-the-land, souvent obfusqués.
Ce qui change avec InstallFix, c’est le prétexte : au lieu d’un faux CAPTCHA ou d’une fausse mise à jour Windows, la victime croit installer Claude, ChatGPT ou Copilot. L’appétit du grand public pour ces outils fait le travail d’ingénierie sociale à la place de l’attaquant.
Concrètement, un faux site Claude redirigeait vers download-version[.]1-9-18[.]com, qui livrait un package Windows imitant l’installeur officiel. À l’intérieur : une libcef.dll malveillante et un Claude.exe réempaqueté en loader, avec une tentative de “browser process hollowing” pour se fondre dans un processus légitime. C’est via ce type de campagne que Sophos a mis la main sur Beagle, un backdoor jusqu’alors indocumenté, déployé par DLL sideloading.
Les extensions de navigateur, vecteur le plus insidieux du lot
Note du PandaRedacteur : Le truc qui m’inquiète le plus dans ce rapport tient en une ligne de store : une extension de navigateur, avec de vraies notes, de vrais avis, et de vraies installations.
Une fausse extension Perplexity a ainsi affiché 4,7 étoiles, 67 avis et 10 000 installations sur le Chrome Web Store avant d’être identifiée. Elle redirigeait les recherches des utilisateurs vers perplexity-ai[.]online tout en exfiltrant des données de navigation en temps réel. Quatre clients Sophos ont installé cette extension précise, ce qui donne une idée du taux de conversion réel d’une fausse note à 4,7 étoiles face à un utilisateur pressé.
D’autres campagnes recensées jouent sur des variantes proches : une redirection vers du phishing EvilProxy déguisé en Copilot, des pages imitant OpenAI pour voler des identifiants, ou des partages ChatGPT légitimes détournés en leurres.
La supply chain aussi : PyPI et npm empoisonnés
Deux cas illustrent que l’usurpation de marque IA dépasse largement le seul poste utilisateur. Un paquet LiteLLM publié sur PyPI a été empoisonné, et un plugin npm nommé claude-mem allait chercher du code malveillant sur un dépôt GitHub distant après installation. Dans les deux cas, la marque IA sert d’appât pour un développeur qui cherche à intégrer rapidement une brique liée à Claude ou à un LLM dans son projet, sans nécessairement auditer le code du paquet qu’il installe.
Note du PandaRedacteur : le jour où on arrêtera de traiter “ça a un rapport avec l’IA” comme un totem de confiance suffisant pour se dispenser d’un audit de dépendance, une bonne partie de ce rapport Sophos deviendra caduque. On n’y est pas encore.
Impact potentiel
| Impact | Niveau | Description |
|---|---|---|
| Confidentialité | Critique | Vol d'identifiants, exfiltration de données de navigation en temps réel, compromission confirmée d'une organisation de services financiers. |
| Intégrité | Élevé | Binaires réempaquetés, DLL ajoutées, paquets de supply chain (PyPI, npm) modifiés pour charger du code distant. |
| Disponibilité | Faible | Aucun impact rapporté sur la disponibilité des systèmes ou services ciblés. |
| Réputation | Sévère | L'usurpation touche directement la confiance des utilisateurs grand public envers les marques IA elles-mêmes, sans qu'Anthropic, OpenAI, Microsoft, Perplexity ou DeepSeek n'aient de responsabilité technique dans ces campagnes. |
Ce qu’il vous reste à faire
- Un outil IA ne s’installe que depuis le site officiel de l’éditeur ou votre store d’entreprise. Jamais depuis un lien publicitaire, jamais depuis un résultat de recherche sponsorisé. En parallèle, blacklistez les domaines typosquattés des marques que vos utilisateurs vont chercher : Claude, ChatGPT, Copilot, Perplexity, DeepSeek et leurs fautes de frappe probables.
- Sur les extensions de navigateur à thématique IA, regardez la réputation de l’éditeur et les permissions demandées avant la note affichée. Rappel du dossier Perplexity : 4,7 étoiles et 10 000 installations, quatre organisations compromises.
- Côté détection, misez sur le comportemental : PowerShell,
mshta, DLL sideloading, exécution en mémoire. Les signatures n’existaient pas pour Beagle le jour de sa première utilisation, et ce sera pareil pour le prochain. - Le dernier point relève de la gouvernance de dépendances, pas de la sécurité IA : un paquet PyPI ou npm lié à un LLM passe par le même circuit d’audit que le reste. Le nom “claude-mem” ne dit rien de ce que le code exécute.
📚 Références
- GBHackers — Threat Actors Exploiting Popular AI Brands to Deliver Malware
- Hugging Face piraté par un agent IA autonome
- Les risques MCP que tout CISO devrait connaître