Le rapport sur l'intellect des menaces publié par la société Rapid7 pour le troisième trimestre a révélé une accélération sans précédent du rythme d'exploitation des vulnérabilités de sécurité ; les attaquants menant désormais des offensives sur des failles hautement critiques en trois jours en moyenne à compter de leur divulgation, tandis que 71 % d'entre elles ont été exploitées dès la première semaine suivant leur divulgation publique.
Course aux failles critiques et hdominance des rançongiciels
Les données ont montré qu'environ 79 % de ces vulnérabilités relèvent de la catégorie des failles extrêmement critiques, également connues dans les milieux de la sécurité sous le nom de « Saint Graal » (Holy Grail), car elles permettent une exécution à distance sans nécessiter d'informations d'identification préalables ni d'interaction de la part de l'utilisateur local. Cette accélération place les équipes de protection et de défense cybernétique sous une forte pression temporelle pour appliquer les correctifs et combler les failles avant qu'elles ne se transforment en intrusions à grande échelle.
Dans le même temps, les logiciels rançonneurs ont maintenu leur position de menace la plus féroce et la plus pernicieuse à l'échelle mondiale, les secteurs des services aux entreprises, de la fabrication et de la santé figurant en tête de liste des cibles les plus vulnérables aux attaques. Les États-Unis ont pris la tête des pays ciblés avec 60 % des attaques enregistrées, suivis par l'Allemagne avec 7 %, ainsi que l'Italie et le Canada avec 5 % chacun. Les attaques ciblant le secteur gouvernemental ont connu une hausse notable de 15 % par rapport au trimestre précédent.
Principaux gangs de rançongiciels et répartition des cibles
En ce qui concerne les acteurs de la cybercriminalité, deux groupes principaux ont dominé la liste des attaques réussies : le gang « The Gentlemen » a revendiqué la responsabilité de 342 incidents, suivi immédiatement par le gang « Qilin » avec 339 incidents. Le reste de la liste active comprenait des groupes tels que « INC Ransom » avec environ 99 attaques, « DeadLock » avec 98 attaques, ainsi que « Krybit » avec 95 attaques revendiquées.
La réalité effective de l'intelligence artificielle dans les opérations cybernétiques
Contrairement au battage médiatique prévalent dans les milieux techniques selon lequel les attaquants soutenus par l'IA auraient un contrôle total, les résultats du rapport ont montré que les outils d'intelligence artificielle n'apparaissent comme élément opérationnel que dans 8 % de l'ensemble des incidents suivis. Les analyses ont indiqué que les attaques restent pilotées par des décisions humaines directes, l'élément humain définissant l'objectif et le mécanisme d'exécution dans tous les cas enregistrés, tandis que le rôle de l'intelligence artificielle se limite à l'automatisation de la « phase tactique intermédiaire » de la chaîne d'attaque, telle que le choix des techniques appropriées, le tri des cibles et la récupération automatique en cas d'échec d'une étape spécifique.
Rapid7 a souligné la nécessité de faire la distinction entre le rythme d'utilisation de l'intelligence artificielle pour la découverte de vulnérabilités et l'audit de code, qui s'accélère réellement, et son utilisation directe dans l'exécution d'exploitations complexes, qui n'est pas encore apparue comme un phénomène à grande échelle dans les données de terrain. Dans ce contexte, les attaquants recourent à des astuces telles que la fragmentation des commandes et des requêtes via des sessions interactives multiples (Multi-session Prompting) pour contourner les mécanismes de protection et les systèmes de détection intégrés dans les modèles d'IA fournisseurs de services.
Activité des menaces persistantes avancées et marché de l'accès initial
Le rapport a suivi l'activité de 15 groupes différents de menaces persistantes avancées (APT) et de gangs d'espionnage cybernétique, qui se sont principalement concentrés sur les institutions gouvernementales, ainsi que sur les secteurs de la défense, des transports, des médias et de l'énergie. Cela inclut des groupes liés à la Russie tels que (Sandworm) et (Void Blizzard), le groupe chinois (APT31) et le groupe (Lazarus) affilié à la Corée du Nord, dont l'utilisation d'un progiciel malveillant inédit destiné aux environnements Linux ciblant des infrastructures en Corée du Sud a été documentée.
Au niveau des plateformes du « web sombre », l'activité des courtiers d'accès initial (Initial Access Brokers) a continué de dominer, les annonces montrant la fourniture de voies d'intrusion allant de données d'identification bancaires complètes à un point d'ancrage permanent au sein des réseaux d'entreprise. Plus de 65 % des publications observées se sont concentrées sur la vente d'accès au protocole de bureau à distance (RDP) ou l'accès aux réseaux internes, ce qui représente un indicateur précoce vital que les défenseurs doivent exploiter pour surveiller les vecteurs d'attaque futurs.
Qu'est-ce que cela signifie pour les équipes de cyberdéfense ?
Cette transition impose une réorganisation immédiate des priorités défensives au sein des organisations techniques, et les exigences pour faire face à ce paysage peuvent se résumer comme suit :
- Réduction du temps de remédiation des vulnérabilités : le modèle de correctif mensuel n'est plus suffisant pour les failles exposées sur Internet ; le nouveau taux (3 jours) exige l'automatisation de l'application des mises à jour et des procédures de blocage immédiat des services exposés.
- Surveillance de la consommation des API d'intelligence artificielle : suivre les requêtes d'interface de programmation (API) provenant d'appareils ou de processus inhabituels au sein du réseau pour détecter précocement toute utilisation non autorisée d'outils intelligents.
- Durcissement des points d'accès à distance : renforcer la surveillance des ports (RDP) et appliquer l'authentification multifacteur pour priver les courtiers d'accès initial de la possibilité d'exploiter les réseaux et de les revendre aux gangs de rançongiciels.