if ( !emtpy($headline_subheadline ) ) : ?>
L’utilisation de l’IA agentique pour automatiser la reconnaissance et exploiter les faiblesses des identités met la pression sur les équipes de sécurité des entreprises pour améliorer la détection et accélérer la réponse aux incidents.
endif; ?>
L’utilisation d’agents d’IA par un groupe de hackers lié à la Chine pour identifier les failles de sécurité lors d’une campagne d’espionnage mondiale suscite des inquiétudes quant à la capacité des entreprises à détecter les failles de leurs défenses avant que des attaques automatisées ne les exploitent.
CrowdStrike a rapporté que le groupe, suivi sous le nom de VAPOR PANDA, a utilisé un cadre de test d’intrusion basé sur l’IA appelé ARTEX pour cibler plus de 200 organisations dans le monde sur une période de 11 jours commençant le 17 octobre. Les organisations comprenaient des agences gouvernementales et des entreprises dans au moins 14 pays, les chercheurs confirmant l’activité post-exploitation à neuf.
Dans une entreprise pharmaceutique mondiale, les attaquants ont demandé à des agents d’IA d’examiner les processus en cours et les listes de dossiers sur les machines Windows pour déterminer si le capteur Falcon de CrowdStrike était installé, selon les transcriptions récupérées par la société de cybersécurité.
ARTEX utilise plusieurs agents IA pour effectuer des tâches d’intrusion sous direction humaine. CrowdStrike a découvert que VAPOR PANDA utilisait ce cadre pour lancer des attaques contre plusieurs organisations simultanément, les opérateurs intervenant à des points de décision clés.
Les résultats font suite à un rapport du 21 octobre de Microsoft détaillant une campagne distincte impliquant ARTEX. Microsoft a déclaré qu’un autre groupe lié à la Chine, Storm-0940, avait utilisé ce cadre pour automatiser des attaques ciblant des centaines d’organisations, obtenant un accès privilégié au cloud en moins de trois heures dans certains cas. La campagne incluait l’abus d’identifiants d’application ConnectWise compromis pour accéder aux environnements clients.
Changer l’économie des cyberattaques
L’utilisation de l’IA dans les cyberattaques modifie l’économie de l’espionnage parrainé par l’État en permettant à des équipes plus petites de poursuivre des cibles sans augmentation correspondante du personnel, selon Akshat Tyagi, chef de cabinet associé chez HFS Research.
« Les techniques sont familières, mais la possibilité de les exécuter en parallèle ne l’est pas », a déclaré Tyagi.
Jonathan Ong, analyste principal des services de sécurité gérés chez Omdia, a déclaré que l’IA peut réduire considérablement le temps que les attaquants consacrent à la reconnaissance, même si une exploitation plus sophistiquée continue de nécessiter une expertise technique.
Les attaques documentées par CrowdStrike exploitaient les faiblesses rencontrées par les équipes de sécurité depuis des années. Dans une organisation gouvernementale grecque, les attaquants ont utilisé des clés d’authentification provenant d’une exportation d’annuaire de 2022 qui n’avaient probablement pas été alternées. Dans une société pharmaceutique américaine, un agent d’IA a combiné une assertion SAML non signée avec une vulnérabilité d’entité externe XML (XXE) pour obtenir un rôle cloud avec des autorisations administratives étendues.
Les failles de sécurité deviennent une cible plus importante
Les inquiétudes croissantes concernant les risques de sécurité liés à l’adoption de l’IA ne devraient pas détourner les organisations des mesures défensives établies, a déclaré Ong. Tyagi a ajouté que les RSSI devraient veiller à ce que la surveillance de la sécurité s’étende à l’ensemble de leurs environnements plutôt que de supposer que les déploiements existants fournissent une couverture complète.
Amit Kumar Jena, responsable du développement de l’IA chez Kanerika, a déclaré que les organisations devraient mesurer en permanence la couverture de protection des points finaux, y compris sur les serveurs internes, et générer des alertes lorsque les machines cessent de signaler aux systèmes de surveillance de sécurité.
Il a également recommandé d’appliquer la validation des signatures SAML et de restreindre les privilèges d’accès au cloud. Les équipes de sécurité doivent surveiller les tentatives d’authentification et les commandes étroitement séquentielles qui pourraient indiquer une activité malveillante automatisée, a-t-il déclaré.
Tyagi a également recommandé de modifier régulièrement les informations d’identification et de surveiller les activités inhabituelles des comptes, avertissant que les attaques automatisées laissent aux défenseurs moins de temps pour enquêter sur les comportements suspects.
Keith Prabhu, PDG de Confidis, a déclaré que les écarts entre les systèmes de sécurité pourraient donner aux attaquants la possibilité de se déplacer dans les environnements d’entreprise. Il a recommandé d’améliorer la visibilité des actifs et de détecter les activités suspectes sur l’ensemble des systèmes plutôt que de s’appuyer sur des contrôles de sécurité individuels.
Perspective d’adoption du style Cobalt Strike
L’utilisation d’ARTEX par différents groupes de menaces indique également la plus grande disponibilité d’outils capables d’automatiser les cyberattaques.
CrowdStrike a déclaré que VAPOR PANDA utilisait ARTEX avec DeepSeek et un deuxième modèle d’IA commercial. Bien que le développeur du framework ait retiré le projet open source original en octobre suite à des informations faisant état de son utilisation abusive, des copies et des versions modifiées restent disponibles.
Tyagi s’attend à ce que ces outils soient plus largement adoptés par les cybercriminels motivés par l’argent au cours des 12 prochains mois.
Il existe déjà des preuves d’une adoption plus large. Dans une étude publiée en octobre, Google Threat Intelligence Group et Mandiant ont déclaré avoir observé des attaquants motivés par des raisons financières utilisant ARTEX lors d’opérations d’extorsion de données, parallèlement à son utilisation par des groupes soupçonnés d’être liés à l’État.
« Les frameworks de test d’IA tels qu’ARTEX ont le potentiel de devenir le Cobalt Strike de l’ère de l’IA », a déclaré Ong.
Cobalt Strike, un outil commercial de test d’intrusion, a été largement utilisé par les cybercriminels et les groupes parrainés par l’État.
À mesure que les attaquants automatisent davantage leurs opérations, les équipes de sécurité devront peut-être s’appuyer davantage sur la détection automatisée. Tyagi a déclaré que cela permettrait aux analystes de passer moins de temps à examiner manuellement les alertes et de se concentrer sur les décisions nécessitant un jugement humain.
Prabhu a déclaré que les RSSI devraient donner la priorité à une réponse aux incidents plus rapide et répétée plutôt que de simplement investir dans des outils d’IA supplémentaires ou d’élargir les équipes de sécurité. De telles préparations pourraient aider les équipes de sécurité à répondre aux intrusions dans lesquelles des agents automatisés explorent plusieurs chemins d’attaque avant que les défenseurs n’aient terminé leur enquête initiale.
Bien qu’ARTEX puisse automatiser une grande partie d’une intrusion, les campagnes observées impliquaient toujours des opérateurs humains dirigeant les décisions clés.
« Nous n’en sommes pas encore à des attaques totalement autonomes », a déclaré Tyagi.
Le rôle continu des opérateurs humains ne diminue pas la rapidité des attaques. Pour les équipes de sécurité, le défi consiste à détecter les activités suspectes suffisamment tôt pour empêcher les tentatives d’intrusion automatisées de se transformer en compromissions plus larges.
