ARTEX, l'outil d'IA détourné pour automatiser des intrusions en entreprise
Selon Cybersecurity News, Google et Microsoft confirment des attaques menées avec cet outil de test d'intrusion, dont le code a été retiré de GitHub en octobre.
Des attaquants exploitent massivement ARTEX, un outil open source d'IA conçu pour les tests d'intrusion, afin d'automatiser des intrusions dans des réseaux d'entreprise, rapporte Cybersecurity News. Google Threat Intelligence Group confirme des attaques fondées sur ARTEX depuis fin août, visant des organisations gouvernementales ainsi que des entreprises des secteurs technologique, chimique, industriel et des télécommunications.
Microsoft indique de son côté qu'un groupe lié à la Chine a utilisé ARTEX lors d'attaques contre Microsoft 365. L'outil avait d'abord été employé par des équipes de sécurité pour des tests d'intrusion, avant que des groupes criminels et des acteurs liés à des États ne s'en emparent.
Son fonctionnement réduit le travail de l'attaquant à la saisie d'une cible et d'identifiants dérobés : ARTEX génère et exécute lui-même les commandes d'attaque, en répartissant la tâche entre six sous-agents. Dans un cas, l'outil a traité 27 tâches en 23 secondes, selon Google. Plus de 110 000 éléments d'information ont par ailleurs été extraits d'Active Directory dans une attaque, qui a aussi recouru au Kerberoasting.
La discrétion n'est pas au rendez-vous : ARTEX laisse de nombreuses traces, un cas ayant produit 240 événements de journalisation. Une organisation suivie par Wiz, filiale de Google, a vu un attaquant s'enfoncer profondément dans son système environ 4 heures après la compromission du premier compte.
Le développeur d'ARTEX avait retiré le code de GitHub en octobre après des abus répétés, mais des copies et une version payante baptisée ARTEX Pro circulent toujours. Google cite parmi les contre-mesures la séparation des systèmes d'administration, l'usage d'identifiants à durée de vie courte, la restriction des droits d'accès et la surveillance des anomalies.
En bref
Qu'est-ce qu'ARTEX ?
Un outil open source d'IA destiné aux tests d'intrusion, désormais détourné pour automatiser des attaques contre des réseaux d'entreprise.
Quelles organisations ont été visées ?
Selon Google Threat Intelligence Group, des organisations gouvernementales et des entreprises des secteurs technologique, chimique, industriel et des télécommunications, depuis fin août.
ARTEX est-il toujours disponible ?
Son développeur a retiré le code de GitHub en octobre, mais des copies et la version payante ARTEX Pro sont toujours en circulation.