Ep.794 – ARTEX, Storm-0940, Vapor Panda – Épisode spécial du 7 novembre 2026

Dans RadioCSIRT, Marc Frédéric Gomez, expert en cybersécurité, consacre un épisode spécial à ARTEX, un outil de test d'intrusion confié à des agents d'intelligence artificielle, publié en open source fin juillet 2026 et retrouvé trois mois plus tard dans des intrusions sur trois continents. Du DIVD néerlandais à la finance sud-coréenne, de ConnectWise à WorkOS, il reprend dans l'ordre ce que les éditeurs de sécurité et la police de Séoul ont publié, avec les chiffres de chacun, et dit pourquoi l'attribution de ces attaques reste si difficile.

ARTEX, trois mois d’un outil de pentest détourné

Dans cet épisode spécial de RadioCSIRT, Marc Frédéric Gomez raconte dans l’ordre chronologique comment ARTEX, un framework de test d’intrusion (pentest) piloté par plusieurs agents d’intelligence artificielle, est passé en un peu plus de trois mois d’un dépôt GitHub à des intrusions en Asie, en Europe et sur le continent américain. Publié le 26 juillet 2026 par un développeur connu sous le pseudonyme Autumn-27, sous licence AGPL-3.0, l’outil confie un pentest complet à des agents : un agent principal découpe l’objectif et le répartit entre des agents de planification et d’exécution, qui lancent des outils classiques (Microsoft cite Nmap, curl ou un navigateur Chromium sans interface), avec n’importe quel modèle de langage. Pensé pour que les équipes de sécurité testent leurs propres systèmes, il est observé par Google et Mandiant en réponse à incident dès la fin août. L’animateur suit ensuite chaque cas documenté : l’intrusion du 21 septembre au Dutch Institute for Vulnerability Disclosure (DIVD), entré par deux failles inconnues (zero-day) de son outil de ticketing Zammad, avec 12 minutes entre l’accès initial et les droits root selon le DIVD ; les attaques contre la finance sud-coréenne décrites par CrowdStrike le 7 octobre ; la compromission de ConnectWise Cloud Backup que Microsoft attribue à Storm-0940, groupe qu’il juge aligné sur l’État chinois ; la campagne que CrowdStrike attribue à Vapor Panda contre plus de 200 organisations dans 14 pays ; l’arrestation de 7 suspects par la police métropolitaine de Séoul ; l’accès à une application commerciale interne de WorkOS, revendiqué ensuite par un chercheur dont l’agent serait sorti de son environnement de test. Il termine par les consoles exposées que comptent AhnLab, Censys, Check Point et Hunt.io, et par la chasse aux secrets dans les dépôts GitHub publics décrite par Microsoft.

Le fil conducteur tient en une phrase de l’animateur : quand un outil sort ainsi, il est réutilisé par tous les groupes d’attaquants, ce qui rend l’attribution très difficile. Après avoir lu le code public, il prévient : « C’est une arme numérique à utiliser avec extrêmement de précaution sur un home lab déconnecté d’Internet. »

Pour aller plus loin

• www.radiocsirt.org
• radiocsirt.substack.com, la newsletter du podcast

Les références de l’épisode

• ARTEX : framework de pentest multi-agents publié en open source le 26 juillet 2026, dépôt passé en privé début octobre, forks et copies toujours en circulation.
• CAIRN et PentAGI : deux frameworks comparables croisés par Google et Mandiant en réponse à incident.
• DIVD (Dutch Institute for Vulnerability Disclosure) : organisation néerlandaise, surtout bénévole, qui coordonne la divulgation de vulnérabilités, compromise le 21 septembre 2026.
• Zammad : outil de ticketing du DIVD, touché par les failles CVE-2026-102489 et CVE-2026-102490 ; l’éditeur recommande la version 7 ou la mise hors ligne.
• Storm-0940 : groupe auquel Microsoft attribue la compromission de ConnectWise Cloud Backup (ex-SkyKick) et plus de 2 250 tenants visés.
• Huntress : société qui a analysé les journaux de ses clients et estimé le degré d’implication d’un modèle de langage.
• Vapor Panda : groupe lié par CrowdStrike à une campagne contre plus de 200 organisations, notamment par la backdoor BLOODALCHEMY.
• Police métropolitaine de Séoul : arrestation de 7 suspects le 26 octobre, plus de 90 organisations compromises.
• WorkOS : entreprise américaine dont une application interne de l’équipe commerciale a été atteinte entre le 25 et le 30 octobre.
• Check Point Research : analyse de dix consoles ARTEX qui exposaient leur base de données complète.
• Hunt.io : analyse de l’infrastructure de l’opérateur des intrusions sud-coréennes, publiée le 7 novembre.
• GitGuardian : 28,65 millions de nouveaux secrets en clair sur GitHub public en 2025.

Au fil de l’épisode

• 00:00:02 : présentation de l’épisode spécial consacré à ARTEX
• 00:00:27 : la publication du 26 juillet 2026 et le fonctionnement des agents
• 00:01:26 : la vocation défensive de départ et les premières observations de Google et Mandiant
• 00:01:49 : CAIRN, PentAGI et l’intrusion au DIVD par Zammad
• 00:02:21 : les deux zero-day, l’élévation jusqu’à root et les 450 000 requêtes
• 00:02:51 : 12 minutes entre l’accès initial et les droits root
• 00:03:40 : la découverte des failles et les recommandations de Zammad
• 00:04:13 : les intrusions contre la finance sud-coréenne
• 00:04:48 : le premier usage offensif documenté par CrowdStrike
• 00:05:48 : le dépôt passé en privé, les forks toujours disponibles
• 00:06:17 : Storm-0940, le password spray et ConnectWise Cloud Backup
• 00:07:52 : l’analyse de Huntress et la boucle de réessai apparue 55 secondes plus tard
• 00:09:13 : la campagne de Vapor Panda contre plus de 200 organisations
• 00:10:43 : l’arrestation de sept suspects par la police de Séoul
• 00:12:06 : l’affaire WorkOS et l’agent sorti de son environnement de test
• 00:13:28 : les dix consoles analysées par Check Point Research
• 00:14:49 : la chasse aux secrets dans les dépôts GitHub publics
• 00:16:11 : les chiffres de GitGuardian sur les secrets exposés
• 00:16:36 : l’infrastructure de l’opérateur analysée par Hunt.io
• 00:18:09 : combien de consoles ARTEX tournent encore
• 00:19:07 : les recommandations de détection et l’avis de l’animateur sur l’outil
• 00:20:01 : conclusion et répondeur du podcast

FAQ

Qu’est-ce que le framework ARTEX ?

ARTEX est un framework de test d’intrusion publié en open source le 26 juillet 2026 sous licence AGPL-3.0. Il confie un pentest complet à plusieurs agents d’intelligence artificielle, de la reconnaissance à l’exfiltration de données, avec n’importe quel modèle de langage. Selon Check Point Research, il devait aider les équipes de sécurité à tester leurs propres systèmes.

Comment le DIVD a-t-il été compromis par un agent ARTEX ?

Le 21 septembre 2026, l’agent est entré par une instance Zammad exposée sur Internet. Une première faille zero-day a détourné une session et donné l’exécution de code, une seconde a élevé les droits jusqu’à root. Le DIVD compte plus de 450 000 requêtes, 2 500 scripts et 12 minutes entre l’accès initial et root ; la segmentation du réseau a bloqué la suite.

Qui est Storm-0940 et quel rôle joue ConnectWise ?

Storm-0940 est le groupe auquel Microsoft attribue la compromission de ConnectWise Cloud Backup, l’ancien SkyKick. Après un password spray sans succès du 10 au 14 octobre, les agents ont abusé à partir du 15 octobre des applications ConnectWise déjà autorisées par les clients pour viser plus de 2 250 tenants Microsoft 365, puis ajouté des identifiants qui restent actifs après la coupure.

Pourquoi l’attribution des attaques menées avec ARTEX est-elle difficile ?

Parce que le même outil circule chez des acteurs très différents. CrowdStrike décrit un individu sinophone derrière les attaques bancaires sud-coréennes, la police de Séoul un groupe sud-coréen, Microsoft et CrowdStrike deux groupes liés à la Chine. Pour Marc Frédéric Gomez, un outil publié ainsi est réutilisé par tous les groupes d’attaquants, même après la fermeture du dépôt.

Combien de consoles ARTEX sont exposées sur Internet ?

Les comptages diffèrent selon les méthodes. AhnLab recense environ 600 adresses IP le 6 octobre, Censys 1 465 hôtes exposés au 4 novembre, Check Point 2 557 systèmes ayant hébergé une console, dont 1 608 encore actifs. Hunt.io rappelle que ces chiffres reflètent le pays d’enregistrement des adresses, pas la position des opérateurs.