Check Point : des agents ARTEX ont volé certificats iOS et identifiants de jeu quasiment sans intervention humaine

ARTEX, plateforme chinoise open source de tests d’intrusion pilotée par l’IA, a déjà fait l’objet de deux articles ici : le rapport de CrowdStrike sur le groupe VAPOR PANDA, lié à la Chine, et la brèche subie par WorkOS. Le rapport de Check Point Research, publié vers le 5 novembre, change d’angle : plus d’espionnage étatique, mais des cybercriminels ordinaires qui confient des campagnes entières à des agents d’IA et se bornent à suivre leur avancement.

Les chercheurs disent avoir repéré 2 557 systèmes hébergeant ou ayant hébergé des panneaux ARTEX, dont 1 608 actifs au moment de l’étude. Dix, mal configurés, exposaient toute leur base : instructions, modèles et étapes de chaque opération. Les modèles chinois dominent, DeepSeek Flash en tête ; selon Check Point, seul un modèle d’Anthropic a opposé des refus, et l’opérateur s’est alors tourné vers des modèles chinois plus permissifs.

Certificats et comptes de jeu

Dans le cas le plus important, un opérateur a utilisé deux consoles ARTEX du 14 au 29 octobre contre 10 boutiques du marché gris qui vendent des certificats de signature d’entreprise Apple, avec DeepSeek v4.1 Flash et Kimi K3.1 Pro. En exploitant des mots de passe administrateur inscrits en dur dans du JavaScript, des API sans authentification ou des injections de commandes, les agents ont rapporté plus de 300 certificats avec leurs mots de passe. Seuls trois ont passé tous les contrôles de Check Point, dont la vérification de révocation et d’expiration auprès d’Apple, ce qui les rendrait revendables. Coût estimé par les chercheurs : 700 à 1 500 dollars pour environ 36 milliards de jetons, très majoritairement servis depuis le cache.

Une campagne distincte visait les serveurs de 13 sites revendant des comptes de jeux mobiles piratés. En cinq jours environ, elle a récupéré plus de 190 000 jeux d’identifiants Honor of Kings ; un site en stockait 21,5 Mo en clair à la racine de son serveur web. Environ 3,3 % restaient valides, soit quelque 6 000 comptes, pour un coût estimé de 180 à 360 dollars. Une tentative de siphonner des cryptomonnaies sur 292 domaines de paiement n’a, d’après le rapport, détourné aucun fonds.

Ce que cela montre, et ce que cela ne dit pas

Pour Check Point, l’essentiel est que les agents ont travaillé presque seuls une fois l’objectif fixé, permettant d’attaquer à une vitesse et une échelle dépassant les compétences des opérateurs. Les chiffres viennent de bases d’attaquants exposées et des vérifications des chercheurs ; les coûts sont calculés sur les tarifs publics des API, non sur des factures. Plusieurs cibles étaient elles-mêmes illicites, et aucune victime n’est nommée. Les conseils restent sommaires : s’attendre à des volumes élevés d’attaques automatisées, tester et renforcer les systèmes exposés.