ARTEX AI Pentesting Tool Used in Data Theft Attacks on South Korean Financial Firms

L’IA au service de la cybercriminalité : Exploitation d’ARTEX et SCARLET LOOP

Des chercheurs ont identifié une recrudescence d’attaques automatisées utilisant des outils d’IA pour le vol de données et le piratage de comptes.

Points clés :

• Campagne contre des institutions financières sud-coréennes : Des attaquants, probablement sinophones, ont utilisé ARTEX, un outil de test d’intrusion autonome basé sur l’IA (LLM), pour exfiltrer des données. L’infrastructure reposait sur deux serveurs, dont un situé à Hong Kong exposant par erreur des fichiers de configuration.
• Réaction de l’éditeur d’ARTEX : Face à ce détournement, le développeur (Autumn-27) a cessé toute mise à jour et a rendu le projet privé.
• Plateforme SCARLET LOOP : Un acteur motivé par le gain financier automatise le credential stuffing (bourrage d’identifiants) à grande échelle. Le système utilise des agents IA pour classifier les cibles, générer des requêtes de recherche (dorks) et manipuler des navigateurs instrumentés afin de contourner les protections contre l’automatisation.
• Optimisation des coûts : Les attaquants utilisent un mode “AUTO” qui désactive l’IA après avoir appris à naviguer sur un site spécifique, minimisant ainsi la consommation de jetons (tokens) LLM.

Vulnérabilités exploitées :

• L’article ne mentionne pas de CVE spécifiques. Les failles exploitées sont principalement des configurations exposées (répertoires ouverts sur des serveurs distants) et le contournement des mécanismes de détection de bots via des agents IA capables de manipuler le rendu du navigateur (canvas, WebGL, empreinte numérique).

Recommandations :

• Sécurisation des serveurs : Auditer les répertoires ouverts et les configurations de serveurs pour éviter l’exposition accidentelle de fichiers sensibles ou de sessions LLM.
• Protection contre l’IA malveillante : Renforcer les systèmes d’authentification en allant au-delà des CAPTCHA classiques, en surveillant les comportements de navigation atypiques et les tentatives de connexion automatisées via des agents.
• Surveillance des identifiants : Mettre en œuvre une politique stricte de rotation des mots de passe et l’authentification multifacteur (MFA) pour neutraliser l’efficacité du credential stuffing.
• Veille : Surveiller les canaux de vente de données volées sur des plateformes comme Telegram, qui servent de points de convergence pour les activités des attaquants identifiés.

Source