Un groupe lié à Pékin attaque avec des agents IA, selon CrowdStrike

Une consigne en chinois, horodatée à l’heure de Pékin, demande à des agents d’IA de trouver les ordinateurs qu’un logiciel de sécurité ne protège pas. Selon CrowdStrike, elle vient d’un groupe d’espionnage lié à la Chine. La vraie question n’est pas de savoir si l’IA sert à attaquer, mais si la défense des organisations suit le rythme.

Ce que CrowdStrike a observé

En jeu : savoir si des attaques menées par des programmes autonomes sont déjà une réalité ou encore une menace théorique. Le rapport de CrowdStrike, publié le 29 octobre, plaide pour la réalité. Il s’appuie sur des transcriptions d’échanges entre un opérateur et ses agents, trouvées sur un serveur de commande du groupe VAPOR PANDA. Ce groupe d’espionnage, que CrowdStrike rattache à la Chine, a exposé par intermittence ses outils, ses fichiers de cibles et les conversations de ses agents, rapporte ActuIA.

Depuis le 17 octobre, ce serveur a dirigé ARTEX, un cadre open source (dont le code est public) qui coordonne des agents d’intrusion. Ses cibles : plus de 200 organisations dans au moins 14 pays. Dans un des échanges, l’opérateur demande aux agents, dans un groupe pharmaceutique mondial, de repérer les machines Windows sans Falcon, le logiciel de sécurité de CrowdStrike, pour y concentrer la suite de l’attaque.

Une précision de méthode s’impose. Selon ActuIA, CrowdStrike est seule à documenter cette campagne, et elle vend le logiciel que les attaquants cherchaient à éviter. Cela ne rend pas le rapport faux. Cela signifie que l’attribution à un groupe lié à la Chine et le détail des opérations restent, pour l’instant, la lecture d’un seul acteur.

Un agent IA, c’est quoi, et pourquoi cela change l’échelle

En jeu : comprendre pourquoi quelques personnes peuvent désormais viser beaucoup plus de cibles. Un agent IA est un programme qui enchaîne seul des tâches : il reçoit un objectif, essaie une piste, change de piste si elle échoue, note ce qu’il apprend. Un chatbot répond à une question ; un agent agit, étape après étape.

ARTEX organise ces agents comme une petite équipe : un agent principal, des agents planificateurs et des agents exécutants, qui partagent une base commune de faits, de découvertes et d’objectifs. L’humain n’intervient qu’aux embranchements, quand il faut choisir une direction.

Selon CrowdStrike, la nouveauté est là. Jusqu’ici, elle avait vu des agents d’IA assister une intrusion à la fois. VAPOR PANDA en a mené plusieurs en parallèle, chaque agent changeant de piste quand une voie échouait : applications web, services cloud, conteneurs, annuaire de l’entreprise (Active Directory), messagerie, VPN (la connexion sécurisée qui relie un employé au réseau interne). Dans l’image d’un cambrioleur, c’est un chef de bande qui n’appelle plus qu’une fois sur dix, pendant que ses équipiers testent dix portes à la fois.

La consommation donne une idée de l’ampleur. Dans une seule intrusion, les agents planificateurs ont consommé de l’ordre de 1,4 milliard de jetons en entrée. Un jeton est à peu près un demi-mot : cela représente, très grossièrement, plusieurs millions de pages de texte lues par la machine.

DeepSeek est l’outil, pas l’auteur

Le groupe a fait tourner ARTEX surtout avec DeepSeek, un modèle d’IA chinois, complété par un second modèle commercial accessible par abonnement que CrowdStrike n’a pas pu identifier. Il faut être précis sur ce point : DeepSeek est ici le moteur utilisé par un groupe d’attaquants, pas l’auteur des attaques. Rien dans les éléments rapportés ne met en cause l’entreprise DeepSeek ni, a fortiori, les Chinois en général. Ce que CrowdStrike attribue à la Chine, c’est un groupe précis, VAPOR PANDA, actif depuis 2021.

CrowdStrike y voit un choix délibéré : bâtir une chaîne d’outils qui ne dépende d’aucun fournisseur de modèles, avec des composants open source et des abonnements commerciaux. ActuIA résume : un groupe d’espionnage d’État s’outille comme une start-up. Ces moteurs sont en vente libre, ce qui pose une question aux défenseurs : on ne peut pas « débrancher » un outil que n’importe qui peut acheter.

Des failles anciennes, rentabilisées

En jeu : la partie la moins spectaculaire, et peut-être la plus utile pour une PME. D’après le rapport, les agents n’ont rien inventé. Ils ont exploité des faiblesses connues.

Dans un laboratoire pharmaceutique américain, ils ont enchaîné deux failles. L’une concerne SAML, un mécanisme qui permet de se connecter à plusieurs services avec un seul compte : une assertion (une attestation d’identité) n’était pas signée. L’autre touche un format de fichier appelé XML. Ils ont ainsi interrogé le service de métadonnées du cloud, obtenu un rôle capable de commander des milliers de serveurs virtuels, puis remonté jusqu’à un compte d’administrateur de l’entreprise.

Contre une administration grecque, l’opérateur a fourni aux agents un export d’annuaire de 2022 dont les clés d’authentification n’avaient vraisemblablement pas été changées depuis. Les agents s’en sont servis pour forger un jeton d’administrateur et lire des boîtes aux lettres. Une clé de client VPN, issue selon l’opérateur d’une fuite de courriels de mai 2024, leur a ouvert l’accès au réseau interne.

En clair : une fuite vieille de deux ou quatre ans, qu’un petit groupe n’aurait pas eu le temps d’exploiter partout, devient rentable quand des agents la testent sur des dizaines de cibles à la fois. CrowdStrike écrit qu’un seul opérateur applique ainsi plus de techniques à plus de cibles qu’en opérant à la main.

Ce que veut dire « 200 organisations » mérite un repère. Ce chiffre désigne des organisations visées, pas des victimes. CrowdStrike confirme une activité après intrusion dans neuf d’entre elles : le groupe y est réellement entré, a installé une porte dérobée (un accès caché) nommée BLOODALCHEMY, connue depuis 2023, puis lancé reconnaissance et attaques sur les mots de passe. Au moins douze autres organisations ont subi des tentatives sur leurs identifiants, dont des administrations européennes. Des opérateurs télécoms ont été compromis aux États-Unis, en Belgique et aux Philippines.

Un outil qui circule, des cibles qui changent

Le 21 octobre, Microsoft attribuait déjà à Storm-0940, un autre groupe aligné sur Pékin, une campagne menée avec le même outil contre les clients de ConnectWise. CrowdStrike précise que les deux opérations sont distinctes. Deux groupes liés à la Chine utilisent donc ARTEX, ce que CrowdStrike lit comme le signe qu’il gagne probablement vite en popularité parmi eux. Elle juge très probable que ce type d’outil continue d’être adopté dans les douze prochains mois.

Les cibles ont aussi évolué. Depuis 2021, VAPOR PANDA visait surtout des administrations, des think tanks et le secteur de l’énergie. Cette fois, une opération visait un seul pays européen, non nommé : ministère des Affaires étrangères, présidence, services du Premier ministre, administrations de la défense, de la justice, des finances et du renseignement. Une autre visait 19 organisations américaines de la pharmacie, des semi-conducteurs, de la défense, du nucléaire et de la finance. Des fichiers de cibles étaient déjà prêts pour des ministères des Affaires étrangères en Amérique centrale et en Asie ; CrowdStrike ne dit pas si ces opérations ont été lancées.

Ce que les défenseurs peuvent vérifier

Les recommandations du rapport visent d’abord ce que les agents ont exploité :

• changer les clés de signature, de pré-authentification et de comptes de service après toute exposition de données, y compris celles qui dorment dans des sauvegardes ou des exports d’annuaire ;
• imposer la validation des signatures SAML, exiger IMDSv2 (une version plus stricte du service de métadonnées) sur AWS et réduire les droits d’exécution de commandes des rôles cloud ;
• chercher les traces d’ARTEX : chaînes « artx » ou « artex » en ligne de commande, rôles cloud préfixés « artx », commentaires « art18- » dans les commandes d’administration, dossier C:\ProgramData\artx5v\ ;
• mettre à jour les équipements exposés à internet, en particulier les vieux serveurs Linux.

Rien là-dedans n’est nouveau, et c’est le point. Si les agents transforment d’anciennes fuites en intrusions à grande échelle, la discipline de base, changer les clés après une fuite et corriger les failles connues, compte davantage qu’avant. Reste une question ouverte : si l’attaquant va plus vite, à quelle vitesse une organisation de taille moyenne peut-elle réellement renouveler ses secrets et mettre ses systèmes à jour ? À chacun de vérifier la date de ses dernières clés.

Sources

• Un deuxième groupe lié à Pékin mène ses intrusions avec les agents d’ARTEX — ActuIA