Vapor Panda : ARTEX vise plus de 200 organisations

CrowdStrike présente cette campagne comme la première utilisation observée d'outils d'intrusion pilotés par IA chez VAPOR PANDA. Les agents ont mené reconnaissance et recherche d'identifiants, avec un humain qui reste dans la boucle. Le DIVD néerlandais rattache à ARTEX une attaque survenue en septembre 2026 : 12 minutes entre l'accès initial et root, plus de 450 000 requêtes et 2 500 scripts, selon BleepingComputer. Le PDG de WorkOS a aussi nommé ARTEX à propos d'un incident détecté le 30 octobre (voir plus bas). Attention toutefois : le chiffre de 1,4 milliard de jetons est une estimation de CrowdStrike, les 200 organisations sont des cibles et non des victimes confirmées, et l'attribution à VAPOR PANDA reste celle de l'éditeur. CrowdStrike recommande de chercher les marqueurs « artx » et « artex », d'exiger la validation des signatures SAML, de passer à IMDSv2, de limiter les rôles cloud et de renouveler les clés exposées.

Pour Kaspersky, l'IA n'apporte pas de méthode nouvelle : la détection classique, EDR, SIEM et réseau, suffit. La différence tient à la vitesse d'enchaînement, avec un opérateur qui peut valider les commandes. À relativiser : les sources consultées ne chiffrent pas les victimes, et l'indice linguistique ne prouve pas l'origine des attaquants. Surveillez les connexions SQL Server inhabituelles, les tickets Kerberos anormaux et les accès DCSync ; vérifiez aussi les journaux des serveurs redémarrés hors des heures ouvrées.

Le rapport déplace le débat. La question n'est plus de savoir si l'IA peut écrire une attaque inédite, mais si elle permet d'exploiter à grande échelle des failles tolérées depuis trop longtemps. Prudence toutefois : « highly likely » est une appréciation du NCSC, pas une preuve qu'un tel rançongiciel existe déjà ; aucune victime n'est citée. Inventoriez les systèmes exposés, segmentez l'OT, testez vos sauvegardes hors ligne et vérifiez les procédures de crise.

Node-RED est très utilisé en automatisation industrielle, et sur les appareils concernés son interface ne demande aucune authentification. À relativiser : VulnCheck décrit un balayage opportuniste vu sur un seul leurre, et aucune compromission de site industriel n'est confirmée dans les sources consultées. The Register rappelle, à titre de contexte, des attaques contre des systèmes d'eau dans au moins 12 États américains cet été. Comme le recommande VulnCheck, vérifiez si Node-RED est joignable depuis Internet, appliquez les mises à jour (4.3.4.1 selon The Hacker News) et mettez en place des détections.

Un NAS peut servir de cible de sauvegarde : son chiffrement peut alors priver l'entreprise de sa copie de secours. Synology publie rarement ce type d'alerte ; la dernière remontait à août 2019, autour du rançongiciel eCh0raix. Attention toutefois : l'éditeur ne nomme pas la faille exacte, et le chiffre de Shadowserver mesure l'exposition, pas les victimes. Mettez à jour le DSM, bloquez l'accès Internet à l'interface d'administration et gardez une sauvegarde hors ligne.

Une revendication sur un site de fuite ne prouve pas qu'un fichier a été copié : elle décrit ce que le groupe affirme détenir. Ici, seul Dijon confirme l'intrusion. L'échantillon de FrenchBreaches illustre la sensibilité de données qui peuvent inclure identité, couverture sociale et ordonnances. Prudence donc sur l'ampleur réelle. Si vous êtes concerné, surveillez les messages qui reprennent vos données et ne payez pas de demande d'extorsion. Sachez aussi que l'officine doit notifier la CNIL sous 72 heures en cas de risque.

Un inventaire cryptographique est le préalable à toute migration : on ne remplace pas ce que l'on ne voit pas. Le QPI reste un indice, et 2,3 sur 10 montre l'écart à combler. À relativiser : le kit est un guide, et aucune obligation réglementaire nouvelle n'est annoncée dans les sources consultées. Commencez par recenser les usages de TLS, SSH et des signatures numériques, interrogez vos fournisseurs et testez les échanges hybrides avant 2030.