Hackers build AI frameworks for widescale credential theft

L’émergence des systèmes d’attaque autonomes basés sur l’IA

Les cyberattaquants délaissent les simples outils assistés par IA au profit de cadres (frameworks) multi-agents capables d’automatiser l’intégralité du cycle de vie d’une attaque avec une intervention humaine minimale. Google Threat Intelligence Group (GTIG) rapporte que ces systèmes permettent de planifier, déployer et ajuster des campagnes de vol de données en temps réel, réduisant drastiquement les délais de réponse des défenseurs.

Points clés :

• Autonomie accrue : Utilisation de cadres multi-agents pour coordonner la reconnaissance, l’exploitation, le contournement de la détection et la gestion des secrets volés.
• Rapidité d’exécution : Capacité à orchestrer des campagnes de collecte massive de justificatifs d’identité en moins de six heures.
• Techniques d’évasion : Rotation dynamique des adresses IP et routage du trafic via des infrastructures cloud légitimes compromises.
• Diversification : Utilisation par des groupes liés à des États pour la surveillance automatisée (ex: Telegram), le développement de malwares et l’espionnage.
• Cibles privilégiées : Infrastructures cloud, clés API et comptes d’utilisateurs.

Vulnérabilités :

• Bien qu’aucune CVE spécifique ne soit citée, les attaques exploitent la faiblesse de la gestion des identités et des secrets (API Keys) ainsi que l’exposition de serveurs de commande et de contrôle (C2) mal sécurisés.
• La persistance sur les systèmes est facilitée par l’usage d’outils d’IA pour automatiser la post-exploitation, rendant la détection traditionnelle par script moins efficace.

Recommandations :

• Renforcer la surveillance post-accès : Les données montrent que la capacité de blocage chute à 37 % une fois que les attaquants disposent d’identifiants valides ; il est crucial de mettre en place une surveillance comportementale accrue après l’authentification.
• Gestion stricte des secrets : Sécuriser et surveiller activement l’usage des clés API et des secrets, car ils constituent des cibles prioritaires pour l’automatisation par les agents IA.
• Détection comportementale : Adopter des solutions capables d’identifier des schémas d’activité anormaux (ex: rotation IP rapide, requêtes automatisées) plutôt que de se fier uniquement aux signatures statiques.
• Proactivité : Intégrer des outils de sécurité capables d’analyser les flux de travail automatisés pour détecter les agents malveillants avant qu’ils ne complètent leur cycle d’exploitation.

Source