Cybermenaces S2 2025 : l’intelligence artificielle entre dans la phase opérationnelle
ESET Research publie son rapport semestriel consacré aux cybermenaces observées entre juin et novembre 2025. Fondée sur la télémétrie globale d’ESET et l’analyse de ses équipes de recherche, l’étude révèle une évolution structurelle du paysage des menaces : l’intelligence artificielle n’est plus un simple outil d’optimisation, mais un composant actif des chaînes d’attaque.
IA offensive : de l’assistance à l’automatisation
L’exemple le plus marquant est PromptLock, identifié par ESET comme le premier ransomware connu exploitant l’IA pour générer dynamiquement des scripts malveillants. Cette capacité adaptative permet d’ajuster le code en fonction de l’environnement ciblé, réduisant les signatures statiques et compliquant la détection comportementale. Si l’IA est encore majoritairement utilisée pour produire des contenus d’ingénierie sociale à grande échelle, PromptLock préfigure une génération de malwares capables d’évoluer en temps réel.
Phishing génératif et deepfakes de nouvelle génération
Les campagnes d’arnaques financières Nomani illustrent l’intégration avancée de l’IA dans les TTP. Les opérateurs ont amélioré la qualité des deepfakes vidéo et vocaux, automatisé la création de sites de phishing via des modèles génératifs et exploité des publicités éphémères pour contourner les systèmes de modération.
Selon la télémétrie ESET, les détections liées à Nomani ont progressé de 62 % sur un an, malgré un léger ralentissement au second semestre 2025. Après Meta, ces campagnes se sont étendues à YouTube, augmentant leur surface d’attaque.
Ransomware : industrialisation et techniques d’évasion
Le rapport indique que le nombre de victimes de ransomwares a dépassé les niveaux de 2024 avant la fin de l’année, avec une hausse annuelle estimée à 40 %.
Les groupes Akira et Qilin dominent l’écosystème ransomware as a service, tandis que Warlock se distingue par l’introduction de mécanismes d’évasion ciblant les solutions de détection et de réponse (EDR).
La prolifération des outils dits EDR Killer confirme que la neutralisation des couches défensives reste une priorité stratégique pour les attaquants.
Lumma Stealer : effondrement post-perturbation
Après sa perturbation mondiale en mai 2025, Lumma Stealer a tenté deux retours limités. Toutefois, ESET observe un déclin net : les détections ont chuté de 86 % au second semestre 2025 par rapport au premier.
L’un de ses principaux vecteurs, le cheval de Troie HTML/FakeCaptcha exploité dans les attaques ClickFix, a quasiment disparu de la télémétrie, réduisant fortement la capacité de diffusion du malware.
CloudEyE (GuLoader) : loader modulaire en forte expansion
À l’opposé, CloudEyE / GuLoader connaît une croissance explosive, avec une augmentation proche d’un facteur trente selon ESET. Distribué via des campagnes d’e-mails malveillants, ce loader chiffré sert de plateforme de déploiement pour diverses charges, dont des ransomwares et des information stealers comme Rescoms, Formbook et Agent Tesla. La Pologne concentre 32 % des tentatives d’attaque CloudEyE détectées au second semestre 2025, soulignant une forte régionalisation des campagnes.
Menaces mobiles : sophistication des attaques NFC
Le segment mobile connaît une mutation rapide, portée par les attaques NFC, en hausse de 87 % dans la télémétrie ESET.
Le malware NGate a évolué pour intégrer le vol de contacts, facilitant des scénarios d’attaques en chaîne. RatOn, nouvelle menace, combine des fonctions de cheval de Troie, de RAT et des attaques par relais NFC, démontrant une convergence entre fraude physique et compromission logicielle.
Diffusé via de fausses pages Google Play et des publicités usurpant TikTok ou des services bancaires numériques, RatOn illustre la créativité croissante des attaquants.
PhantomCard, variante de NGate ciblant le Brésil, a été observée dans plusieurs campagnes locales.
Le rapport complet ESET Research est disponible en accès libre sur WeLiveSecurity.com, en français et en anglais.
