Copilot à la rescousse : comment Microsoft et Europol ont démantelé un réseau mondial de malwares (326 serveurs saisis)

Microsoft utilise Copilot pour démanteler Amadey et StealC : quand l’IA aide la lutte contre le cybercrime

Dans une opération conjointe avec Europol et plusieurs partenaires privés, Microsoft annonce avoir joué un rôle décisif dans l’identification et le démantèlement de l’infrastructure derrière les malwares Amadey et StealC. Fait marquant : l’entreprise a eu recours à Copilot, son assistant d’IA, pour analyser le code, cartographier les serveurs de commande et contrôle (C2) et révéler des liens qui auraient échappé à une inspection manuelle. Le recours à l’intelligence artificielle dans la cybersécurité illustre une tendance forte : les mêmes outils qui servent parfois les attaquants peuvent, employés à bon escient, renforcer la défense.

Amadey et StealC : des malwares dans un modèle « as‑a‑service »

Amadey et StealC s’inscrivent dans la logique du MaaS (Malware‑as‑a‑Service). Amadey fonctionne essentiellement comme un loader ou dropper : il sert à l’accès initial au poste de la victime, souvent via phishing, puis contacte un serveur C2 pour télécharger d’autres charges utiles. StealC, quant à lui, est un infostealer capable d’exfiltrer des identifiants, des cookies de session, l’historique de navigation, l’accès aux messageries et même des portefeuilles de cryptomonnaies. Les données récupérées sont ensuite monétisées — vendues sur des marchés illicites ou réutilisées pour d’autres attaques.

Ampleur de l’attaque et efficacité de la riposte

Selon Microsoft, Amadey et StealC auraient infecté plus de 140 000 ordinateurs à l’échelle mondiale durant les deux premières semaines de mai. L’entreprise indique avoir localisé et nettoyé plus de 18 000 machines, avec l’autorisation des autorités judiciaires compétentes. L’opération conjointe a abouti au démantèlement d’une infrastructure importante : 326 serveurs saisis, 142 noms de domaine neutralisés et la confiscation de plus de 41 millions d’euros en cryptomonnaies. Les estimations font état de plus de 27 millions de credentials dérobés par ce réseau.

Le rôle de Copilot : analyser, corréler, accélérer

Copilot a été utilisé comme un accélérateur d’analyse du code malveillant. L’IA a aidé à repérer des schémas, à extraire des signatures réseau et à corréler des informations dispersées pour identifier plus de 200 adresses IP liées aux serveurs C2. Surtout, Copilot a permis de révéler que StealC et Amadey exploitaient la même infrastructure — information essentielle pour orienter une action policière coordonnée et efficace. Sans cette corrélation, les opérations de démantèlement auraient pris davantage de temps, laissant le réseau fonctionner et infecter encore plus de machines.

Ce que démontre l’opération : complémentarité humains‑IA

Le succès de l’intervention tient à la conjugaison des forces : l’expertise des analystes humains, la capacité de Copilot à parcourir rapidement de larges volumes de code et de logs, et l’aptitude des acteurs judiciaires à authoriser les mesures techniques et légales. Il s’agit d’un exemple concret de ce que l’on peut appeler « IA augmentée » : l’outil n’a pas remplacé le travail des enquêteurs, mais l’a rendu plus rapide et plus précis.

Impacts pour la cybersécurité opérationnelle

Risques et limites : vigilance sur l’usage de l’IA

Si l’usage de Copilot illustre un bénéfice clair, il soulève aussi des questions. La confiance accordée à des outils d’IA nécessite des garanties sur la qualité des résultats, la traçabilité des analyses et la possibilité d’auditer les processus. Des faux positifs ou des interprétations erronées pourraient entraîner des actions mal ciblées. Le cadre procédural — autorisations judiciaires, coopération internationale, préservation des preuves — demeure donc indispensable pour transformer une découverte technique en résultat juridique valable.

Conséquences pour les victimes et les acteurs économiques

Pour les victimes, l’effacement des serveurs et la restitution partielle des actifs saisis (cryptomonnaies) représentent une étape réconfortante mais insuffisante : la prévention, la détection précoce et la résilience restent cruciales. Les entreprises et organisations doivent tirer les leçons opérationnelles : durcir les processus d’authentification, multiplier les backups, opter pour des architectures segmentées et sensiblement améliorer la sensibilisation au phishing.

Le message aux cybercriminels et aux défenseurs

Cette opération envoie un signal fort : les infrastructures mafieuses du cybercrime sont traquées, corrélées et vulnérables lorsque chercheurs privés, entreprises technologiques et autorités judiciaires coopèrent. Pour les défenseurs, elle montre que l’intégration de l’IA dans les outils d’analyse est un levier stratégique, à condition d’être encadrée. Pour les malfaiteurs, elle rappelle que la surface d’attaque n’est pas infinie et que la traçabilité numérique peut conduire à des saisies significatives.

Actions concrètes recommandées

Au final, l’affaire Amadey/StealC illustre une réalité contemporaine : la lutte cybernétique est devenue pluri‑actorielle, rapide et technique. L’IA, si elle est maîtrisée et contrôlée, apparaît aujourd’hui comme un outil puissant au service de la sécurité collective.