Plus de 800 déploiements d’Artex, un outil offensif dopé à l’IA, étaient accessibles sans mot de passe. Un signal fort pour la sécurité cloud.
En bref
- Plus de 800 instances d’Artex exposées
- L’outil automatise des attaques offensives
- Des copies du code circulent encore
Le plus frappant, ici, n’est pas l’IA offensive. C’est la faiblesse du verrou. Un outil pensé pour automatiser des intrusions complexes s’est retrouvé, dans des centaines de cas, accessible sur le Web sans mot de passe. Pour les équipes sécurité, le contraste est rude, et assez parlant sur l’état réel des déploiements.
Une diffusion massive, bien au-delà du test autorisé
Censys, qui cartographie les systèmes exposés sur internet, dit avoir repéré plus de 800 déploiements distincts d’Artex accessibles publiquement. Sans authentification. Or Artex n’a pas besoin d’être exposé au Web pour fonctionner, ce qui rend cette situation assez difficile à justifier.
L’outil lui-même n’est pas marginal. Open source depuis juillet, Artex automatise le pentest, autrement dit la recherche de failles et l’exploitation de surfaces d’attaque avec peu d’intervention humaine. Microsoft l’avait déjà décrit comme un ensemble d’agents capables de mener une attaque de la reconnaissance jusqu’à l’exfiltration de données. Bon, tout usage n’est pas malveillant, et des testeurs autorisés s’en servent aussi. Mais laisser l’interface ouverte change complètement le risque.
Des attaques réelles, du secteur financier au cloud d’entreprise
Ce risque n’a rien de théorique. Plusieurs campagnes ont déjà été reliées à Artex. En septembre, des attaques ont visé le secteur financier sud-coréen. CrowdStrike les a attribuées à un acteur parlant chinois, notamment parce qu’il avait laissé un répertoire ouvert hébergeant son instance d’Artex.
Les données observées par Censys montrent que cette instance est restée exposée pendant des mois. Et son contenu ne pointait pas seulement vers des banques sud-coréennes, mais aussi vers des entreprises du paiement et du jeu vidéo. Résultat, on voit à la fois l’outil, la cible et parfois les traces de l’opération.
Début octobre, même logique chez ConnectWise. Des hackers liés à la Chine ont utilisé Artex pour pénétrer des environnements clients dans le cloud de Microsoft et voler des données. Microsoft expliquait que la vitesse d’exécution laissait aux défenseurs très peu de temps pour détecter et répondre.
Pourquoi ce dossier compte pour tout l’écosystème mobile et cloud
Le point important, clairement, c’est que beaucoup de ces attaques n’ont pas reposé sur des failles sophistiquées. Les vecteurs relevés sont souvent beaucoup plus basiques, mots de passe faibles ou déjà connus, absence de MFA, erreurs de configuration. L’IA accélère l’attaque, mais la porte d’entrée reste, elle, tristement classique.
Autre sujet, les systèmes exposés peuvent révéler des implants, ces logiciels cachés utilisés pour compromettre un réseau et y rester. Autrement dit, une mauvaise configuration peut exposer la victime, mais aussi l’attaquant lui-même.
Et ce n’est pas fini. Artex a annoncé un passage au closed-source, réservé à des clients payants pour les prochaines versions. Sauf que des dizaines de copies du code circulent encore sur des plateformes de partage. Pour l’écosystème, la leçon est simple, et quand même un peu brutale, un outil très avancé reste dépendant de l’hygiène de base.
