Les forces de l’ordre américaines ont récemment annoncé l’extradition de Zheng Zhao, un ressortissant chinois, accusé d’être impliqué dans une vaste conspiration de fraude aux cryptomonnaies ciblant des citoyens américains. Selon les documents judiciaires du ministère de la Justice, Zhao faisait partie d’un réseau international qui incitait des victimes à transférer des fonds vers des comptes contrôlés par des co-conspirateurs. Ces derniers blanchissaient ensuite l’argent via des sociétés écrans américaines, des comptes bancaires internationaux et des portefeuilles d’actifs numériques.

La méthode d’approche était classique, quoique modernisée : les escrocs contactaient les victimes via des réseaux sociaux, des appels téléphoniques ou des applications de rencontres pour gagner leur confiance, avant de promouvoir des placements financiers numériques frauduleux. Les victimes étaient amenées à utiliser de faux sites d’échange qui ressemblaient à des plateformes réelles, recevant ensuite des assurances de croissance de leurs investissements, alors que leurs fonds étaient effectivement volés. Plus de 36,9 millions de dollars ont été transférés vers un compte à Deltec Bank aux Bahamas, d’où l’argent fut converti en stablecoin Tether (USDT) avant d’être acheminé vers le Cambodge.

L’infiltration logicielle via les outils d’intelligence artificielle

Pendant que les escroqueries transnationales continuent de prospérer, une autre forme d’attaque utilise la popularité des outils d’intelligence artificielle. Des chercheurs de Check Point Research ont identifié une campagne, nommée Yoba, où des acteurs malveillants détournent des binaires officiels de ChatGPT et de Claude. Ces attaquants créent des projets GitHub qui imitent de fausses applications de bureau, telles que « GPT-5.6 Sol » ou « Claude Opus », afin de tromper les utilisateurs.

Le cœur de l’attaque réside dans une technique de DLL sideloading. Les malwares, comme le YobaDropper, sont positionnés à côté d’exécutables signés légitimes d’OpenAI ou d’Anthropic, permettant au code malveillant d’être chargé indirectement et de contourner les protections de sécurité habituelles. Ce mécanisme est particulièrement sournois car il exploite la confiance que l’utilisateur porte à ces outils IA pourtant populaires.

L’opérateur de cette campagne démontre une bonne discipline opérationnelle en évitant une infrastructure de commande et de contrôle dédiée, préférant se servir de Telegram, de Tor, et de DNS sur HTTPS (DoH). D’après l’analyse des horodatages de compilation, les attaquants semblent opérer majoritairement dans le fuseau horaire UTC-4, ce qui permet d’inférer l’origine potentielle de cette menace.

Les failles critiques dans l’écosystème de développement

Le secteur du développement et de l’intégration continue n’est pas épargné par ces menaces. GitLab a récemment publié une correction critique, la version 19.4.2 (et ses prédécesseurs), pour adresser plusieurs failles. Parmi elles, CVE-2026-97229, qui est d’une gravité maximale, permet à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière mal conçue dans la configuration CI/CD. C’est une vulnérabilité critique (CVSS 10.0), et le fait qu’elle soit déjà listée dans le catalogue des vulnérabilités exploitées par CISA souligne l’urgence de la situation.

Cette faille, entre autres, est accompagnée de CVE-2026-92883, une vulnérabilité de type Cross-site Scripting qui menace les utilisateurs authentifiés, et d’autres faiblesses liées à l’autorisation, montrant que l’affaiblissement peut venir de n’importe quel niveau de l’application.

Que faire maintenant

Face à ce double spectre – fraude financière mondiale et infiltration logicielle sophistiquée – la vigilance est primordiale. Pour les entreprises utilisant GitLab, l’action est immédiate : toute installation auto-gérée doit être mise à jour vers les versions 19.4.2 ou équivalentes dès que possible. Les organisations doivent aussi surveiller les tentatives d’exploitation des failles critiques listées par CISA, en particulier celles qui permettent un accès non authentifié.

Pour les citoyens, si vous êtes victime d’une escroquerie impliquant des actifs numériques, le portail IC3.gov est l’adresse officielle pour signaler l’incident.

Fiche technique

Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Chinese National Extradited for Alleged Role in Multimillion-Dollar Cryptocurrency Scam Targeting U.S. Citizens, justice.gov
• Tricks from the Past deployed via signed ChatGPT and Claude binaries – Check Point Research, research.checkpoint.com
• Security Affairs newsletter Round 602 by Pierluigi Paganini – INTERNATIONAL EDITION, Security Affairs, 1 novembre 2026
• CISA Adds Two Known Exploited Vulnerabilities to Catalog, CISA, 30 octobre 2026
• Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access, The Hacker News, 31 octobre 2026
• Avis de sécurité (docs.gitlab.com), docs.gitlab.com, 13 octobre 2026
• GHSA-9hj5-r43h-h3xg : GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-97229, NVD (NIST)
• CVE-2026-97229 dans le catalogue KEV, CISA