L’outil de test de pénétration ARTEX AI trouvé sur des serveurs attaquant des entreprises japonaises

Résumé

Les attaquants utilisent ARTEX, un outil open-source de test d’intrusion agentique AI développé en Chine, pour automatiser les attaques contre des organisations au Japon et en Corée du Sud. Le cadre exploite les modèles de langage étendu pour effectuer la reconnaissance, le sondage et l’exploitation, aidant les attaquants à découvrir des « vulnérabilités cachées » et à échapper aux défenses traditionnelles des WAF. Les campagnes observées semblent hautement automatisées et ciblées sur des industries spécifiques.

Enquête

Les enquêtes menées par GMO Cybersecurity, CrowdStrike et JPCERT/CC ont découvert des configurations d’agent AI et des historiques de sessions sur l’infrastructure contrôlée par les attaquants. L’analyse médico-légale a révélé l’utilisation d’ARTEX, Claude Code, et de multiples connexions API LLM, y compris DeepSeek, Zhipu AI, et xAI. Les invites en langue chinoise et les journaux de sessions ont en outre confirmé que l’AI générative était activement utilisée pour soutenir le processus d’intrusion.

Atténuation

Les organisations devraient mettre en œuvre une nomenclature logicielle (SBOM) pour maintenir une visibilité précise sur les versions logicielles et les composants déployés. Les équipes de sécurité devraient aller au-delà des correctifs basés sur les versions et adopter des politiques qui priorisent les mises à niveau immédiates vers les versions corrigées après la divulgation de vulnérabilités. Les protections WAF devraient également être renforcées avec une limitation de taux liée aux comptes, sessions, et clés API plutôt qu’aux seules adresses IP.

Réponse

Lorsqu’un volume inhabituellement élevé de requêtes automatisées ou d’activités de sondage distribué est détecté, les intervenants en cas d’incident doivent enquêter sur les schémas de reconnaissance pilotés par AI. Les organisations devraient examiner les modèles d’autorisation API pour garantir que l’application se fait côté serveur et auditer les fonctions administratives exposées. Si un organisme similaire dans la même industrie signale une compromission, il convient de scanner proactivement les APIs exposées et les plateformes tierces pour des faiblesses similaires.

Exécution de Simulation

• Narratif d’Attaque & Commandes : Un adversaire a réussi à accéder initialement à un poste de travail d’entreprise japonais. Pour accélérer leur phase de reconnaissance et d’exploitation, ils déploient l’outil de pénétration piloté par AI ARTEX. L’attaquant exécute l’outil via la ligne de commande pour initier une phase de scan automatisé contre le réseau interne. La commande ARTEX.exe --scan --target 192.168.1.0/24 est utilisée, ce qui devrait déclencher la règle de détection en raison de la présence de la chaîne ‘ARTEX’ dans la télémétrie de création de processus.

• Script de Test de Régression :

  # Script de Simulation : Déclenchement de la règle de détection ARTEX
  # Ce script simule l'exécution de l'outil ARTEX en créant un exécutable factice
  # et en le faisant tourner avec l'argument de ligne de commande ciblé.
  
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  
  # Créer un exécutable factice (utilisant un simple wrapper PowerShell pour des fins de simulation)
  # Dans un scénario réel, ce serait le binaire ARTEX réel.
  New-Item -Path $SimulatedToolPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Simulation de l'exécution de l'outil ARTEX..." -ForegroundColor Cyan
  
  # Exécuter l'outil avec la chaîne spécifique requise par la logique de détection
  # Nous utilisons cmd /c pour assurer que la chaîne de commande est clairement capturée dans les logs
  Start-Process cmd.exe -ArgumentList "/c $SimulatedToolPath --scan --target 10.0.0.1" -Wait
  
  Write-Host "[+] Commande de simulation envoyée. Vérifiez le SIEM pour EventID 4688 contenant 'ARTEX'." -ForegroundColor Green

• Commandes de Nettoyage :

  # Script de Nettoyage : Supprimer l'artéfact simulé
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  if (Test-Path $SimulatedToolPath) {
      Remove-Item -Path $SimulatedToolPath -Force
      Write-Host "[+] Nettoyage complet : $SimulatedToolPath supprimé." -ForegroundColor Yellow
  } else {
      Write-Host "[!] Nettoyage ignoré : Artéfact non trouvé." -ForegroundColor Red
  }