Exploitation du cadre ARTEX alimenté par l'intelligence artificielle : une menace croissante ciblant le secteur financier
Les rapports de sécurité de Microsoft Threat Intelligence ont détecté une transition qualitative dans les méthodes d'attaques numériques, le groupe Storm-3358, un groupe de piratage basé au Cambodge, ayant commencé à utiliser le cadre ARTEX pour des attaques via l'IA agentique (Agentic AI). Cette activité cible principalement les institutions financières en Asie du Sud-Est, la portée des attaques s'étendant pour inclure de grandes institutions financières dans le monde entier.
Mécanismes d'attaque et vitesse de la « machine »
Le groupe Storm-3358 s'appuie sur l'intégration du cadre ARTEX avec des outils d'automatisation traditionnels pour exécuter des chaînes d'attaque complexes. Les agents intelligents (AI Agents) scannent les systèmes connectés à Internet et exploitent des vulnérabilités de sécurité telles que la falsification de requêtes côté serveur (SSRF) et des failles de téléchargement de fichiers inconnues. Une fois le système compromis, des outils tels que curl et netcat sont utilisés pour télécharger des logiciels d'accès à distance (RAT) afin de garantir la persistance et le mouvement latéral au sein du réseau.
Parmi les logiciels malveillants les plus notables détectés lors de ces attaques :
Pourquoi cette évolution représente-t-elle un réel danger ?
Le véritable danger réside dans la capacité des outils d'IA agentique à accélérer toutes les étapes de la chaîne d'attaque (Attack Chain) pour atteindre la « vitesse de la machine ». Contrairement aux attaques traditionnelles qui peuvent nécessiter une intervention humaine ou des étapes préprogrammées, les agents ARTEX peuvent effectuer les actions suivantes de manière quasi autonome :
- Mener des attaques par force brute (Brute-force) et deviner des mots de passe à ultra-haute vitesse.
- Explorer des interfaces de programmation d'applications (API) et en abuser.
- Extraire des bases de données et exploiter des identités cloud compromises pour exfiltrer des données.
Cette transition réduit la fenêtre temporelle disponible pour les équipes de défense afin de détecter et de réagir, rendant les méthodes de défense traditionnelles insuffisantes pour faire face à des attaques fonctionnant avec un mécanisme de prise de décision autonome.
Stratégies de défense et de riposte
Pour faire face à ces menaces sophistiquées, Microsoft indique qu'il est nécessaire de s'appuyer sur des signaux comportementaux plutôt que de se fier uniquement aux signatures statiques, les agents intelligents pouvant modifier rapidement leurs caractéristiques. Parmi les recommandations techniques :
- Utiliser des pièges numériques (Honeypots) et des surfaces trompeuses pour égarer les agents intelligents et les attirer vers de faux objectifs.
- Activer des techniques de type Tarpits pour consommer le temps et les ressources de l'agent intelligent et ralentir sa progression.
- S'appuyer sur des solutions intégrées telles que Microsoft Entra ID Protection et Microsoft Defender pour surveiller les activités suspectes au niveau des identités et des points de terminaison.