Des hackers exploitent la fuite de Claude Code pour cacher des malwares dans des archives

La fuite de données de Claude Code est devenue une arme entre les mains des cybercriminels. Des hackers diffusent massivement des archives censées contenir des fichiers dérobés à Anthropic, mais les victimes récupèrent avec elles un malware dissimulé. L'attaque cible les utilisateurs qui cherchent à accéder à des contenus interdits et qui sont prêts à prendre des risques pour y parvenir.

Le mécanisme repose sur le principe classique de l'appât numérique. Des archives aux noms évocateurs d'un contenu exclusif (fuite d'Anthropic, données internes de Claude Code, code source des produits de l'entreprise) circulent sur des forums, des canaux Telegram, des serveurs Discord et des torrents. À l'intérieur, en plus de fichiers réels ou fabriqués, se cache un infostealer ou un loader chargé de télécharger d'autres malwares. Une fois lancé, le malware collecte les données des navigateurs, des portefeuilles de cryptomonnaies et des messageries : tout ce qui peut servir à pirater des comptes ou se monnayer sur le marché noir.

L'attaque exploite non seulement la curiosité des utilisateurs, mais aussi leur envie de contourner les restrictions. Les personnes qui traquent des données divulguées sur des produits d'IA commerciaux négligent souvent les précautions de base : elles ne vérifient pas la source, n'exécutent pas les fichiers dans un environnement isolé et n'analysent pas le contenu avant de l'ouvrir. Elles forment donc un public particulièrement vulnérable. Les chercheurs notent que ce type d'arnaque se multiplie à chaque fois qu'une fuite retentissante, réelle ou supposée, fait surface dans l'espace public.

Mais les attaques de la semaine ne se sont pas limitées à Claude Code. Le FBI a alerté sur une grave menace pour la sécurité nationale : des attaquants ont piraté des outils d'écoute téléphonique légale, les systèmes dits de « wiretap ». Les services de renseignement et les forces de l'ordre américains s'en servent pour mener des enquêtes autorisées. Y accéder permet aussi bien d'obtenir des informations secrètes sur des opérations en cours que d'identifier des sources confidentielles. Le FBI n'a pas révélé les détails du piratage, mais a souligné le caractère systémique de la menace.

On a appris au même moment que Cisco avait été piraté dans le cadre d'une vaste campagne d'attaques contre la chaîne d'approvisionnement. Les attaquants ont dérobé des fragments du code source de l'entreprise. Un butin de grande valeur : le code source permet de rechercher des vulnérabilités zero-day, exploitables ensuite dans des attaques ciblées contre des infrastructures d'entreprise du monde entier. Les attaques contre la chaîne d'approvisionnement restent l'une des tendances les plus dangereuses en cybersécurité : un seul fournisseur compromis ouvre la porte à des milliers d'organisations qui font confiance à ses produits.

Les trois incidents suivent un même schéma : les attaquants exploitent la confiance, qu'elle porte sur des marques, des outils légitimes ou des chaînes de partenaires. Quand un utilisateur télécharge une archive issue d'une fuite, il fait confiance à sa curiosité. Quand un système de wiretap reçoit une requête, il fait confiance à l'autorisation. Quand une entreprise utilise le logiciel d'un fournisseur, elle fait confiance à la chaîne d'approvisionnement. Les attaquants identifient et exploitent méthodiquement chacun de ces maillons.

Pour l'utilisateur lambda, la conclusion est sans appel : toute archive au contenu exclusif ou divulgué provenant d'une source non officielle doit être considérée comme potentiellement malveillante, quelle que soit la crédibilité de sa description. Les infostealers cachés dans ce type d'archives compromettent non seulement un appareil, mais aussi tous les services dont les mots de passe sont enregistrés dans le navigateur. Si quelque chose ressemble à une exclusivité interdite, il s'agit très probablement d'un piège.