Dix serveurs AWS, 1,8 million d’applications Android et une chasse automatisée aux clés API, tokens et identifiants oubliés dans leur code. Anthropic décrit une opération attribuée à un acteur francophone lié à ShinyHunters, qui s’est servi de Claude pour industrialiser plusieurs étapes de ses intrusions.
1,8 million d’APK aspirées puis ouvertes une à une
Le dispositif ne commence pas par une faille spectaculaire mais par une récolte. Dans son rapport de renseignement sur les menaces publié en septembre, Anthropic décrit un acteur francophone utilisant notamment les pseudonymes « MeowSHA », « frkoo » et « blazespider ». Il avait réparti son infrastructure sur dix instances AWS EC2.
Son pipeline téléchargeait massivement des applications Android depuis plusieurs boutiques, les décompilait puis cherchait dans leur code les secrets laissés en clair par leurs développeurs.
Au total, 1,8 million de fichiers APK distincts ont été passés au crible. La recherche reposait notamment sur TruffleHog, un outil capable de repérer des clés API, tokens et autres identifiants exposés. Les résultats validés étaient ensuite envoyés en temps réel dans un groupe Telegram, organisé en plus d’une centaine de catégories.
En parallèle, l’opérateur collectait des adresses liées à des organisations GitHub pour alimenter une seconde filière de récupération de Personal Access Tokens. Selon Anthropic, ces deux pipelines ont fourni les identifiants initiaux utilisés dans une grande partie des compromissions confirmées associées à cet acteur.
Des secrets trouvés dans une application jusqu’aux systèmes de l’entreprise
Les identifiants récupérés n’étaient pas simplement stockés. Ils étaient testés et qualifiés avant d’être utilisés ou revendus. Anthropic détaille notamment des validations massives de clés cloud, le rejeu de tokens sur des environnements de production et l’évaluation de leur valeur avant revente. Les opérateurs fouillaient aussi les dépôts de code, images de conteneurs, scripts côté client, espaces de stockage et points de métadonnées exposés.
Claude intervenait dans plusieurs étapes de cette mécanique : développement d’outils, reconnaissance, compréhension des environnements ciblés et exploitation des accès obtenus.
L’entreprise rattache ces activités à plusieurs opérateurs soupçonnés d’être affiliés au collectif ShinyHunters, connu pour ses campagnes de vol de données suivies de demandes d’extorsion. Le cas est également détaillé par BleepingComputer.
D’un token volé aux droits administrateur en trois heures
Une fois un identifiant valide trouvé, les opérations pouvaient s’accélérer brutalement. Dans une compromission décrite par Anthropic, un attaquant est passé d’un seul token de développeur volé au contrôle administrateur complet d’un environnement cloud en environ trois heures.
Un autre opérateur lié au même ensemble d’activités a compromis un fournisseur SaaS, puis récupéré des données appartenant à environ 200 de ses clients. En quelque 34 heures, il a extrait plus de 2 100 ensembles de tokens Azure AD répartis sur plus de 40 tenants d’entreprise. Anthropic indique que les agents IA ont réalisé presque tout le travail dans cette opération.
L’entreprise affirme avoir bloqué les comptes concernés et renforcé ses mécanismes de détection. Dans ce cas précis, le chiffre raconte surtout l’échelle atteinte : 1,8 million d’applications Android fouillées pour retrouver des secrets encore exploitables.
