Microsoft décrit ce qu'elle présente comme la première campagne de grande ampleur où le travail de piratage n'a pas été mené par une personne, mais par un agent d'IA autonome. Derrière l'opération : Storm-0940, un groupe lié à la Chine qui vole des données à des entreprises du monde entier depuis 2021.
L'outil utilisé s'appelle ARTEX, un système multi-agents écrit en Go avec une interface Next.js. Conçu à l'origine pour des tests d'intrusion légitimes, il peut mener seul tout le processus, de la reconnaissance à l'exfiltration de données, avec très peu d'intervention humaine. Ses développeurs ont fermé le code source après qu'ARTEX a été repéré dans des attaques contre des institutions financières sud-coréennes. Cela n'a pas arrêté Storm-0940.
Le point d'entrée a été une application de sauvegarde cloud de ConnectWise, compromise le 15 octobre et révélée publiquement le lendemain. En utilisant des identifiants d'application volés, les attaquants ont tenté de se connecter à plus de 2 250 locataires Microsoft 365 — avec seulement quatre identifiants volés, l'agent a lancé plus de 200 tentatives de connexion en moins de quatre minutes.
- plus de 151 000 tentatives de connexion échouées entre le 10 et le 14 octobre ;
- un pic de 2 900 tentatives par minute le 11 octobre ;
- 327 comptes visés dans huit organisations ;
- 48 comptes ayant subi plus de 1 000 échecs chacun.
Ce qui frappe le plus, c'est la vitesse une fois le pied mis dans la porte. Dans plusieurs cas, il a fallu moins de trois heures entre le premier contact et l'obtention d'un accès privilégié à l'infrastructure cloud — un rythme qu'un opérateur humain mettrait des jours à atteindre. Microsoft insiste : la faille ne venait pas de ses propres produits, mais d'un maillon tiers de la chaîne d'approvisionnement. L'entreprise a déjà publié des détections pour Defender XDR et Defender for Cloud Apps et envoyé des consignes de confinement à ses clients.
L'épisode ARTEX donne un aperçu inconfortable de l'avenir de la cybersécurité offensive pilotée par l'IA. Un outil censé aider les défenseurs à trouver les failles avant les attaquants vient de montrer ce qui se passe une fois tombé entre de mauvaises mains — fermer le code source n'a pas empêché sa fuite vers l'usage exact que ses créateurs voulaient éviter.
