Faux assistant de codage IA Moltbot

Des chercheurs en cybersécurité ont identifié une extension malveillante pour Microsoft Visual Studio Code sur la Marketplace officielle. Cette extension se présentait faussement comme un assistant de programmation gratuit basé sur l'IA pour Moltbot (anciennement Clawdbot). Au lieu de fournir des fonctionnalités légitimes, l'extension déployait discrètement un code malveillant sur les systèmes compromis.

L'extension, intitulée « ClawdBot Agent – Assistant de codage IA » (clawdbot.clawdbot-agent), a été publiée le 27 janvier 2026 par un utilisateur nommé « clawdbot ». Microsoft l'a depuis retirée du Marketplace. Des acteurs malveillants ont profité de la popularité fulgurante de Moltbot pour inciter des développeurs non avertis à installer un outil que Moltbot ne propose pas officiellement.

Pourquoi Moltbot était un appât attrayant

Moltbot a dépassé les 85 000 étoiles sur GitHub, grâce à sa promesse d'un assistant personnel IA hébergé localement et alimenté par de vastes modèles de langage. La plateforme permet l'interaction via des services courants tels que WhatsApp, Telegram, Slack, Discord, Signal, iMessage, Microsoft Teams, Google Chat et les messageries instantanées web.

Un point crucial souvent négligé est que Moltbot ne dispose d'aucune extension légitime pour VS Code. Des pirates ont exploité cette faille en introduisant un plugin contrefait conçu pour s'intégrer parfaitement à l'écosystème des développeurs.

Du lancement dans l’IDE au contrôle total à distance

Une fois installée, l'extension malveillante s'exécutait automatiquement à chaque lancement de VS Code. Elle récupérait un fichier config.json distant depuis clawdbot.getintwopc.site, lequel lui ordonnait d'exécuter un fichier binaire nommé Code.exe. Ce dernier déployait un outil d'accès à distance légitime : ConnectWise ScreenConnect.

Le client ScreenConnect installé s'est ensuite connecté à meeting.bulletmailer.net:8041, offrant aux attaquants un accès distant persistant et interactif à la machine infectée.

Tactiques de livraison redondantes et de résilience

Les attaquants exploitaient leur propre infrastructure de relais ScreenConnect, distribuant un client préconfiguré via l'extension. Plusieurs mécanismes de secours garantissaient la livraison de la charge utile même en cas de défaillance des canaux de commande et de contrôle principaux.

Cela comprenait :

• Récupération et chargement latéral d'une DLL malveillante basée sur Rust (DWrite.dll) référencée dans config.json, capable de télécharger le client ScreenConnect depuis Dropbox.
• Le chargement latéral de DLL via Code.exe, qui chargerait de préférence la bibliothèque malveillante lorsqu'elle serait placée dans le même répertoire.
• URL codées en dur dans l'extension pointant vers des emplacements de téléchargement alternatifs.

• Une méthode de sauvegarde par lots utilisant des scripts et puisant ses données utiles sur darkgptprivate.com.

Une analyse plus approfondie indique que les attaquants avaient anticipé des défaillances opérationnelles, car plusieurs mécanismes étaient peu fiables mais agencés de manière à assurer la persistance des attaques.

Le problème plus vaste : les déploiements non sécurisés de Moltbot

Outre l'extension malveillante, les chercheurs ont découvert des centaines d'instances de Moltbot non authentifiées en ligne. Celles-ci résultaient d'une erreur classique de configuration d'un proxy inverse, exposant ainsi des fichiers de configuration, des clés API, des identifiants OAuth et l'historique de conversations privées.

La faille provenait de l'approbation automatique des connexions « locales » par Moltbot, combinée à des déploiements derrière des proxys inverses. Le trafic provenant d'Internet était traité par erreur comme un accès local de confiance, permettant ainsi un contrôle non authentifié.

Quand les agents d’IA deviennent des intermédiaires d’attaque

Les agents Moltbot sont autonomes. Ils peuvent envoyer des messages au nom des utilisateurs, interagir sur les principales plateformes de messagerie, exécuter des outils et lancer des commandes. Cela représente un risque important en cas d'accès non autorisé.

• Les agents compromis peuvent être utilisés pour :
• Se faire passer pour des opérateurs et injecter des messages dans des conversations privées
• Manipuler les sorties et les flux de travail des agents
• Exfiltrer des données sensibles de manière invisible
• Diffuser des « compétences » malveillantes ou comportant des portes dérobées via MoltHub (anciennement ClawdHub), permettant des attaques de type chaîne d'approvisionnement

Des erreurs de configuration généralisées ont déjà créé les conditions propices aux fuites d'identifiants, aux abus d'injection rapide et aux scénarios de compromission inter-cloud.

Un point faible architectural

Au cœur du problème se trouve la philosophie architecturale de Moltbot. La plateforme privilégie un déploiement fluide plutôt que des paramètres par défaut rigides. Les utilisateurs peuvent ainsi intégrer rapidement des services d'entreprise sensibles sans avoir à imposer de pare-feu, de validation d'identifiants ou de sandbox pour les plugins.

Les experts en sécurité mettent en garde contre les failles de sécurité importantes que Moltbot peut créer en cas de mauvaise configuration, notamment son accès profond aux systèmes d'entreprise, souvent depuis des appareils personnels non gérés et situés en dehors des périmètres de sécurité traditionnels. L'absence de sandbox et le stockage en clair des données et identifiants à long terme font de Moltbot une cible particulièrement attrayante.

Si un attaquant compromet la machine hôte, les techniques avancées sont superflues. Les voleurs d'informations modernes exploitent couramment les répertoires connus à la recherche de jetons, de clés API, de journaux et de données de configuration pour développeurs. Lorsque ces ressources sont stockées sans chiffrement, elles peuvent être exfiltrées en quelques secondes.

Les chercheurs ont déjà observé que des familles de logiciels malveillants en tant que service, telles que RedLine, Lumma et Vidar, s'adaptaient spécifiquement pour cibler les structures de répertoires liées à Moltbot.

Du vol de données à la compromission cognitive

Pour les opérateurs de vol d'informations, les données de Moltbot représentent bien plus que de simples identifiants. Elles permettent ce que les chercheurs appellent le « vol de contexte cognitif ». L'accès à l'historique des conversations, aux messages système et à la mémoire à long terme permet aux adversaires de comprendre non seulement les systèmes, mais aussi les intentions opérationnelles.

Si les attaquants obtiennent également un accès en écriture, par exemple via un cheval de Troie d'accès à distance déployé en même temps qu'un voleur de données, ils peuvent passer au détournement d'agent et à l'empoisonnement de la mémoire, manipulant subtilement le comportement, les sorties et les relations de confiance au fil du temps.

Mesures immédiates d’atténuation des risques

Il est fortement conseillé aux organisations et aux particuliers utilisant Moltbot avec les paramètres par défaut de prendre immédiatement des mesures de protection :

• Auditez toutes les configurations et les services exposés.
• Révoquer et renouveler toutes les intégrations et informations d'identification connectées.
• Examinez les systèmes pour détecter tout signe de compromission.
• Mettre en place des contrôles d'accès et une surveillance au niveau du réseau.

Sans mesures correctives décisives, les environnements Moltbot restent extrêmement vulnérables aux prises de contrôle silencieuses, au siphonage de données et aux attaques en aval de la chaîne d'approvisionnement.