Untitled1.ps1 : le nom de fichier sent le brouillon vite fait, et c’est précisément le problème. Les chercheurs de Huntress disent avoir récupéré, lors d’une intrusion observée le 3 juin, un script PowerShell qui a tout d’un code pondu par une IA générative puis lâché tel quel dans un vrai réseau Windows. Objectif du fichier : inventorier un domaine Active Directory après une connexion RDP réalisée avec des identifiants déjà compromis.
Points clés
- Huntress a récupéré le 3 juin un script PowerShell (Untitled1.ps1) servant à inventorier un domaine Active Directory
- Accès obtenu via RDP avec des identifiants déjà compromis, puis déploiement de s5cmd.exe et SharpShares.exe
- Plusieurs indices pointent vers du code généré par IA : titre grandiloquent, mécanismes redondants, structure disproportionnée
- La chaîne d’intrusion reste classique ; l’IA abaisse surtout le coût de production d’outils sur mesure
Une connexion RDP, puis un script de reconnaissance
Dans son rapport publié le 8 juillet 2026, Huntress explique que l’attaquant a obtenu un accès RDP à un serveur Windows joint au domaine, vraisemblablement via un VPN et des identifiants volés. Le script a refait surface dans les journaux d’exécution PowerShell, au niveau de l’événement opérationnel 4104 qui enregistre les blocs de code lancés.
Le nom interne ne disait rien. Le contenu, en revanche, a fait tiquer les enquêteurs. Le script s’annonçait sans complexe comme un « 100% Working AD Information Gathering Script – FULLY FIXED », avec une logique de repli en cascade pour dénicher le contrôleur de domaine : blocs try/catch à répétition, découverte via DNS, nltest, le module Active Directory et les variables d’environnement. Détail savoureux, un champ de contrôleur de domaine était resté sous sa forme d’exemple, jamais modifié.
Ce que le script a raflé, et ce qui a suivi
Une fois le contrôleur localisé, le script a moissonné utilisateurs, ordinateurs, groupes, unités d’organisation, sous-réseaux et relations de confiance du domaine. Il crachait même des sorties CSV et un rapport HTML de synthèse, le tout rangé dans un répertoire horodaté. Un malware qui produit sa propre documentation, on aura tout vu.
Après cette reconnaissance, l’attaquant a déployé d’autres outils : s5cmd.exe, prisé pour la copie et le transfert de fichiers, puis SharpShares.exe pour repérer les partages réseau accessibles. Le staging s’est fait dans C:\ProgramData, planque classique pour déposer des outils sur Windows.
Du « vibe coding » appliqué à l’intrusion
Les chercheurs y voient un probable cas de vibe coding, ce code obtenu par itérations successives avec une IA plutôt que rédigé à la main. Les indices sont concrets : titre grandiloquent, mécanismes de secours redondants, sortie console colorée et structure disproportionnée pour une simple tâche d’énumération. Bref, la signature d’un assistant un peu trop zélé.
Reste que la chaîne d’attaque, elle, n’a rien de futuriste : accès distant avec identifiants compromis, dépôt d’outils, reconnaissance, préparation de l’exfiltration. La nouveauté n’est pas le mode opératoire mais la capacité à générer vite un script sur mesure sans passer par un outil réutilisable. L’IA ne réinvente pas le piratage, elle abaisse juste le ticket d’entrée.
