« Trouve dans le domaine les machines Windows sans Falcon, d'après la liste des processus et les dossiers. » La consigne est en chinois, horodatée à l'heure de Pékin et précédée d'une étiquette, « instruction humaine ». Elle s'adresse à des agents d'IA lâchés dans le réseau d'un groupe pharmaceutique mondial. Falcon, c'est le logiciel de sécurité de CrowdStrike. Les agents devaient repérer les postes qu'il ne protégeait pas, pour y concentrer la suite de l'intrusion.

CrowdStrike a publié ces transcriptions le 29 octobre. Elles proviennent d'un serveur de commande lié à VAPOR PANDA, un groupe d'espionnage qu'elle rattache à la Chine, qui a exposé par intermittence ses outils, ses fichiers de cibles et les échanges de ses agents. Depuis le 17 octobre, ce serveur a dirigé ARTEX, un cadre open source qui coordonne des agents d'intrusion, contre plus de 200 organisations dans au moins 14 pays, d'après le rapport de CrowdStrike. L'éditeur est seul à documenter cette campagne, et il vend le logiciel que les attaquants cherchaient à éviter.

Le 21 octobre, Microsoft attribuait déjà à Storm-0940, un autre groupe aligné sur Pékin, une campagne menée avec le même outil contre les clients de ConnectWise, comme ActuIA l'avait détaillé. CrowdStrike précise que les deux opérations sont distinctes. Deux groupes liés à la Chine utilisent donc le même outil, ce que CrowdStrike lit comme le signe qu'il gagne probablement vite en popularité parmi eux.

Des ministères européens dans la liste

Le changement le plus net porte sur les cibles. Depuis 2021, VAPOR PANDA visait surtout des administrations, des think tanks et le secteur de l'énergie. Cette fois, une des opérations confiées aux agents visait un seul pays européen, non nommé : son ministère des Affaires étrangères, sa présidence, les services de son Premier ministre, et ses administrations de la défense, de la justice, des finances et du renseignement. Une autre visait 19 organisations américaines de la pharmacie, des semi-conducteurs, de la défense, du nucléaire et de la finance. Des opérateurs télécoms ont été compromis aux États-Unis, en Belgique et aux Philippines.

Le chiffre de 200 désigne des organisations visées, pas des victimes. CrowdStrike confirme une activité après intrusion dans neuf d'entre elles, où le groupe a installé une porte dérobée connue depuis 2023, BLOODALCHEMY, puis lancé reconnaissance et attaques sur les mots de passe. Au moins douze autres ont subi des tentatives sur les identifiants, dont des administrations européennes.

Un opérateur, plusieurs intrusions à la fois

ARTEX organise un agent principal, des agents planificateurs et des agents exécutants autour d'une base commune de faits, de découvertes et d'objectifs. L'humain n'intervient qu'aux embranchements. Jusqu'ici, CrowdStrike avait vu des agents d'IA assister une intrusion à la fois. VAPOR PANDA en a mené plusieurs en parallèle, chaque agent changeant de piste quand une voie échouait : applications web, services cloud, conteneurs, annuaire Active Directory, messagerie, VPN.

Les moteurs de ce dispositif sont en vente libre. Le groupe a fait tourner ARTEX surtout avec DeepSeek, complété par un second modèle commercial accessible par abonnement que CrowdStrike n'a pas pu identifier. Dans une seule intrusion, les agents planificateurs ont consommé de l'ordre de 1,4 milliard de jetons en entrée. CrowdStrike y voit un choix délibéré : bâtir une chaîne d'outils qui ne dépende d'aucun fournisseur de modèles, à partir de composants open source et d'abonnements commerciaux. Un groupe d'espionnage d'État s'outille ici comme une start-up.

Des failles anciennes, exploitées plus vite

Les agents n'ont rien inventé. Dans un laboratoire pharmaceutique américain, ils ont enchaîné une assertion SAML non signée et une faille XML pour interroger le service de métadonnées du cloud, en tirer un rôle capable de commander des milliers d'instances, puis remonter jusqu'à un compte d'administrateur de l'entreprise. Contre une administration grecque, l'opérateur leur a fourni un export d'annuaire de 2022 dont les clés d'authentification n'avaient vraisemblablement pas été changées depuis. Les agents s'en sont servis pour forger un jeton d'administrateur et lire les boîtes aux lettres. Une clé de client VPN issue, selon l'opérateur, d'une fuite de courriels de mai 2024 leur a permis d'atteindre le réseau interne.

C'est l'enseignement le plus utile du rapport, et le moins spectaculaire. Une fuite vieille de deux ou quatre ans, qu'un petit groupe n'aurait pas eu le temps d'exploiter partout, devient rentable quand des agents la testent sur des dizaines de cibles à la fois. CrowdStrike le dit à sa manière : un seul opérateur applique ainsi plus de techniques à plus de cibles qu'en opérant à la main.

Ce que CrowdStrike demande de vérifier

Les recommandations du rapport visent d'abord ce que les agents ont exploité :

  • changer les clés de signature, de pré-authentification et de comptes de service après toute exposition de données, y compris celles qui dorment dans des sauvegardes ou des exports d'annuaire ;
  • imposer la validation des signatures SAML, exiger IMDSv2 sur AWS et réduire les droits d'exécution de commandes des rôles cloud ;
  • chercher les traces d'ARTEX : chaînes « artx » ou « artex » en ligne de commande, rôles cloud préfixés « artx », commentaires « art18- » dans les commandes d'administration, dossier C:\ProgramData\artx5v\ ;
  • mettre à jour les équipements exposés à internet, en particulier les vieux serveurs Linux.

CrowdStrike juge très probable que les groupes liés à la Chine continuent d'adopter ce type d'outil dans les douze prochains mois. Le serveur de VAPOR PANDA a laissé voir ce qu'il préparait : des fichiers de cibles déjà prêts pour des ministères des Affaires étrangères en Amérique centrale et en Asie. CrowdStrike ne dit pas si ces opérations ont été lancées.

Consigne traduite du chinois par ActuIA, d'après la traduction anglaise publiée par CrowdStrike.

Nos articles remonteront en priorité dans « À la une » de Google.