if ( !emtpy($headline_subheadline ) ) : ?>
La campagne met en évidence pourquoi l’exposition à Internet, la disponibilité des exploits et un confinement plus rapide deviennent des facteurs de plus en plus importants dans la manière dont les RSSI priorisent les risques.
endif; ?>
Un groupe de cybercriminalité de langue chinoise utilise des outils basés sur l’IA pour contribuer à compromettre les serveurs Web Windows et Linux connectés à Internet, selon Cisco Talos, l’unité de recherche sur les renseignements sur les menaces de Cisco. Talos a déclaré que cette activité indique des opérations offensives de plus en plus automatisées.
Talos, qui suit le groupe sous le nom d’UAT-10147, a trouvé des preuves que des conseils opérationnels générés par l’IA avaient été utilisés lors d’une intrusion. Les chercheurs ont également récupéré des outils qui ont aidé les attaquants à affiner leurs exploits lorsque des problèmes survenaient et à automatiser certaines parties de leur activité après avoir obtenu l’accès.
La campagne s’est fortement appuyée sur des vulnérabilités révélées publiquement, a déclaré Talos. Le recours à l’IA pourrait néanmoins permettre aux attaquants de réaliser plus efficacement des opérations complexes tout en nécessitant moins d’expertise spécialisée.
Les chercheurs ont également trouvé une liste de cibles contenant environ 170 000 URL sur l’infrastructure de commande et de contrôle du groupe, illustrant l’étendue des cibles potentielles du groupe.
Talos a déclaré que l’UAT-10147 était motivé par des raisons financières et avait utilisé des serveurs compromis pour des activités telles que le vol de données et la fraude à l’optimisation des moteurs de recherche.
L’IA raccourcit la fenêtre de réponse du défenseur
L’UAT-10147 représente un changement dans la capacité des attaquants, même si les techniques sous-jacentes ne sont pas nouvelles, selon Sakshi Grover, directeur de recherche senior pour IDC Asia Pacific Cybersecurity Services.
« Ce qui a changé, c’est la rapidité avec laquelle l’IA peut aider les attaquants à résoudre les exploits ayant échoué, à adapter les charges utiles et à passer de l’accès initial à la persistance », a déclaré Grover.
Keith Prabhu, fondateur et PDG de Confidis, a décrit le changement comme étant progressif mais significatif plutôt que comme un changement radical dans les techniques d’attaque.
Il a déclaré que l’IA peut réduire le temps entre l’accès initial et un compromis fiable et reproductible en permettant aux attaquants de travailler sur des systèmes Internet vulnérables avec une boucle de rétroaction automatisée.
« Les RSSI devront travailler au rythme de l’attaque et non au rythme de leurs capacités actuelles », a déclaré Prabhu.
Cela pourrait faire des petites organisations des cibles plus attrayantes si les compromettre nécessite moins d’efforts manuels. « Pour les RSSI, l’essentiel à retenir est que le délai nécessaire pour détecter et contenir une intrusion est de plus en plus court », a déclaré Grover.
Cette fenêtre de réponse réduite pourrait révéler des faiblesses dans les processus de réponse aux incidents qui dépendent encore de plusieurs niveaux d’approbation humaine.
Prabhu a déclaré que les SOC pourraient également avoir des difficultés s’ils continuent à enquêter sur les alertes individuellement plutôt que de corréler les activités d’une intrusion. Un recours excessif à la détection basée sur les signatures et à un tri manuel lent pourrait créer des retards supplémentaires, tandis qu’une mauvaise télémétrie du serveur pourrait priver les défenseurs d’une visibilité suffisante sur une intrusion.
Grover a averti que si les attaquants parviennent à établir la persistance en quelques minutes, les équipes de sécurité n’auront peut-être pas le temps d’attendre que plusieurs équipes ou responsables approuvent l’isolement d’un système compromis.
Les organisations ont donc besoin de mesures de confinement pré-approuvées pour les incidents de haute confiance, avec une gouvernance claire quant au moment où les défenses automatisées sont autorisées à agir, a déclaré Grover. Elle a souligné une prévision d’IDC selon laquelle 75 % des organisations automatiseront le tri SOC d’ici 2028, alors que les entreprises cherchent à réduire la lassitude liée aux alertes et à accélérer la réponse.
Les défenseurs se tournent vers l’automatisation
Le recours croissant à l’automatisation par les attaquants exerce une pression croissante sur les organisations pour qu’elles étendent leur propre utilisation des défenses basées sur l’IA, selon Jonathan Ong, analyste principal des services de sécurité gérés chez Omdia.
« La question n’est plus de savoir si les outils offensifs de l’IA proliféreront largement, mais si les défenseurs seront prêts à le faire », a déclaré Ong. Il a ajouté que la surveillance humaine restera nécessaire même si les organisations déploient davantage de défenses automatisées.
Ong a souligné les services gérés de détection et de réponse et la gestion des surfaces d’attaque externes, ou EASM, comme domaines dans lesquels une plus grande automatisation pourrait aider les défenseurs à identifier et à répondre aux risques liés à Internet.
Les vulnérabilités connues deviennent plus urgentes
L’UAT-10147 illustre également pourquoi les attaques basées sur l’IA pourraient rendre l’exposition plus importante que la seule gravité de la vulnérabilité. Le groupe a bénéficié des avantages opérationnels de l’IA tout en s’appuyant fortement sur les vulnérabilités connues et les outils offensifs existants.
L’IA peut automatiser une grande partie du travail nécessaire à la recherche de serveurs vulnérables et à la détermination de la réussite d’un exploit, a déclaré Grover, augmentant potentiellement la vitesse à laquelle les attaquants travaillent sur les systèmes exposés.
Cela fait des scores CVSS à eux seuls une base insuffisante pour établir des priorités. Une faille visible sur Internet avec un code d’exploitation accessible au public peut justifier une correction avant une vulnérabilité de score plus élevé enfouie dans un réseau interne. Les équipes de sécurité doivent également réfléchir aux systèmes ou aux identités privilégiées qu’un attaquant pourrait atteindre après avoir compromis l’actif concerné.
Grover a ajouté que là où des correctifs immédiats ne sont pas possibles, des contrôles compensatoires tels que la segmentation ou l’isolement temporaire peuvent aider à réduire les risques.
« L’IA ne change pas les principes fondamentaux de la sécurité », a déclaré Grover. « Cela permet simplement aux attaquants d’agir plus rapidement, de manière plus cohérente et à une échelle beaucoup plus grande. »
