Quotidien suisseDimanche 11 octobre 2026Édition de 13h, technologie
Prochaine publication le 11 octobre 2026 à 17h
Une · Sécurité · Intelligence artificielle · Corée du Sud
Banques sud-coréennes piratées : l’attaquant pilotait un agent d’intrusion chinois, ARTEX, et des sessions Claude Code
La vague d’intrusions qui a touché depuis fin septembre plusieurs banques sud-coréennes, dont Shinhan, KB Kookmin et Hana, a été menée avec ARTEX, un logiciel libre chinois de « test d’intrusion » automatisé par intelligence artificielle, combiné à l’assistant de programmation Claude Code. L’entreprise américaine CrowdStrike l’a établi en fouillant les serveurs de l’attaquant, laissés ouverts. Le développeur d’ARTEX a depuis fermé son code.
ARTEX n’est pas un modèle de langage : c’est un « agent » qui s’appuie sur des modèles externes pour enchaîner seul les étapes d’une intrusion, de la reconnaissance de la cible à la vérification des failles. Selon CrowdStrike, l’attaquant, probablement sinophone et motivé par l’argent, utilisait deux serveurs, dont l’un à Hong Kong, et y avait laissé en accès libre des répertoires contenant l’historique de ses sessions Claude Code, ses fichiers de configuration ARTEX et des consignes en chinois. Le principal modèle utilisé était DeepSeek v4.1-flash, complété par GLM-5.3 (Zhipu AI) et Grok 4.6. Dans ces sessions, l’attaquant a aussi demandé où vendre des données coréennes volées et fait rédiger un CV de « chercheur en sécurité » vantant ses résultats, avec des détails personnels que CrowdStrike ne peut pas, à ce stade, attribuer avec certitude.
À Séoul, l’Institut coréen de sécurité financière avait confirmé dès le 3 octobre au quotidien économique The Herald Business l’usage d’ARTEX, en précisant que « l’IA n’a pas agi seule, sans intervention humaine ». Toutes les attaques visaient des systèmes internes destinés aux employés ou aux partenaires, pas la banque en ligne des clients : Shinhan a déclaré 25 729 personnes touchées via un service de suivi de prêts pour courtiers, KB Kookmin 119 enregistrements, Hana 89, BNK Busan 11 employés contractuels. L’attaquant changeait d’adresse IP à chaque blocage. Selon l’Institut, le risque de virements frauduleux est faible, mais les données peuvent servir à des escroqueries par téléphone. Le développeur d’ARTEX a annoncé jeudi que le projet, publié en juillet sous licence libre AGPL-3.0, ne serait plus mis à jour ni diffusé ; des copies dérivées circulent toutefois déjà, selon BleepingComputer.
Windows Update : sans les nouveaux certificats, plus aucune mise à jour après mai ou juin 2027
Microsoft a prévenu jeudi que des certificats qui permettent aux PC de vérifier qu’ils parlent bien aux vrais serveurs de Windows Update expireront le 17 mai et le 19 juin 2027. Un appareil qui n’a pas reçu les certificats de remplacement d’ici là perdra l’accès à Windows Update et ne recevra plus aucune mise à jour, de sécurité ou autre. Les nouveaux certificats sont livrés avec les mises à jour mensuelles : un PC à jour n’a rien à faire.
Le détail varie selon les versions. Windows 11 25H2 et suivantes : rien à faire. Windows 11 24H2 et Windows Server 2025 : installer la mise à jour de sécurité de septembre 2025 ou une plus récente avant le 19 juin 2027. Les autres versions encore prises en charge de Windows 11 et de Windows 10, ainsi que Windows Server 2022 : la mise à jour de juillet 2026 ou plus récente, avant la même date. Pour Windows 10 Enterprise 2019 LTSC, Windows Server 2019 et 2016, l’échéance est le 17 mai. Les versions qui ne sont plus prises en charge perdront l’accès ; Microsoft conseille seulement de les mettre à niveau. Pour les particuliers, cela concerne surtout les PC sous Windows 10 non inscrits au programme de mises à jour de sécurité étendues (ESU), qui n’ont plus reçu de correctif depuis octobre 2025.
ShinyHunters : un dirigeant canadien de la négociation de rançons arrêté en Pennsylvanie
Edward Dubrovsky, 54 ans, cadre canadien de la cybersécurité, a été arrêté en Pennsylvanie, où il assistait à une conférence sur les risques informatiques. Plusieurs médias, dont Politico et KrebsOnSecurity, relient cette arrestation à l’enquête du FBI sur le groupe d’extorsion ShinyHunters. Vendredi, le directeur du FBI, Kash Patel, avait annoncé l’arrestation d’un « autre complice présumé » du groupe, sans le nommer. Selon les registres judiciaires, l’homme a été transféré au district Est du Texas, où l’accusation a été déposée, et reste détenu. La plainte est sous scellés ; le dossier mentionne un complot en vue d’extorquer de l’argent en menaçant de divulguer des données et l’extorsion au sens de la loi Hobbs.
Dubrovsky a cofondé l’entreprise canadienne CYPFER et est associé à CyberSteward, deux sociétés qui aident les victimes de vols de données et de rançongiciels à négocier, et parfois à verser, les rançons. Il a récemment publié un livre sur la réponse à l’extorsion informatique. Le FBI n’a pas confirmé qu’il s’agit du complice annoncé. Selon le FBI, ShinyHunters et ses associés ont piraté plus de 140 organisations et encaissé plus de 70 millions de dollars de rançons en un an.
Empêcher un pirate de détourner un appel de fonction : comment marche l’intégrité du flot de contrôle (CFI)
Au GNU Tools Cauldron 2026, Kees Cook a présenté ses modifications du compilateur GCC pour protéger le noyau Linux par « intégrité du flot de contrôle » (CFI, pour control-flow integrity), une protection jusqu’ici proposée pour le noyau par le compilateur Clang. Le principe est simple et le mécanisme instructif. Atelier pédagogique.
1. Le problème : les pointeurs de fonction. Un programme en C appelle souvent une fonction dont l’adresse est stockée dans une variable : c’est un appel indirect. Le noyau Linux en est rempli, par exemple file->f_op->read(...), où chaque système de fichiers fournit sa propre fonction de lecture. Si un pirate exploite un bug mémoire (un débordement de tampon, l’utilisation d’un objet déjà libéré) pour écraser ce pointeur, le prochain appel saute à l’adresse de son choix : une autre fonction, ou un fragment de code au milieu d’une fonction, assemblé avec d’autres pour obtenir l’effet voulu. La CFI ne supprime pas le bug mémoire ; elle empêche de transformer ce bug en détournement du programme.
2. Le mécanisme : une étiquette de type devant chaque fonction. Avec le schéma « kCFI » de Clang (-fsanitize=kcfi), le compilateur calcule pour chaque type de fonction, par exemple « renvoie un ssize_t et prend un pointeur de fichier, un tampon, une taille et une position », une empreinte (hash) sur 32 bits. Il place cette valeur dans le code, juste avant la première instruction de chaque fonction susceptible d’être appelée indirectement. À chaque appel indirect, il insère quelques instructions qui lisent la valeur située juste avant l’adresse visée et la comparent à l’empreinte du type attendu par le pointeur. Si elles diffèrent, le processeur exécute une instruction d’arrêt et le noyau signale une « CFI failure » au lieu de sauter. Un fragment de code pris au milieu d’une fonction n’a pas d’étiquette valide devant lui : il est refusé. Conséquence technique notée par la documentation de Clang : comme la vérification lit le code lui-même, kCFI n’est pas compatible avec une mémoire de code « exécutable seulement », illisible par le programme.
3. Ce que ça ne protège pas. La protection est « à gros grain » par type : un pirate peut encore rediriger un pointeur vers n’importe quelle autre fonction ayant exactement la même signature. Elle ne couvre que les appels « vers l’avant » (forward-edge). Les retours de fonction (backward-edge), où l’adresse de retour est lue sur la pile, demandent une autre technique : la pile fantôme (shadow stack), une copie protégée des adresses de retour, que fournissent les processeurs récents d’Intel, d’AMD et d’Arm. Sur x86, les processeurs offrent aussi une protection matérielle plus grossière (Intel IBT) : un appel indirect ne peut atterrir que sur une instruction marqueur endbr64, sans contrôle du type. Le noyau sait combiner les deux approches (« FineIBT »).
4. Ce que ça change pour le développeur. La CFI rend fatales des erreurs autrefois silencieuses : appeler une fonction à travers un pointeur d’un type légèrement différent, par exemple après un transtypage pour « faire taire » le compilateur ((void (*)(void *))ma_fonction), fonctionnait souvent par chance et provoque désormais un arrêt. Les bonnes pratiques sont donc de déclarer les fonctions de rappel exactement avec le type du pointeur, de ne pas transtyper les pointeurs de fonction, et de compiler avec les avertissements de GCC et de Clang qui signalent ces conversions (-Wcast-function-type). Le même raisonnement vaut hors du noyau : Clang propose une variante pour les programmes ordinaires (-fsanitize=cfi, qui exige l’optimisation à l’édition de liens).
Sauvegarde AhsayCBS : deux failles exploitées, même dans la dernière version
Des attaquants enchaînent deux failles de la plateforme de sauvegarde AhsayCBS, utilisée surtout par des prestataires informatiques : CVE-2026-105133, un contournement de l’authentification dont un code d’exploitation est public, puis CVE-2026-105134, une injection de commandes. La société Huntress a observé le 7 octobre des attaques contre au moins cinq organisations, avec installation de portes dérobées web et d’un logiciel de minage de cryptomonnaie. Les failles étaient annoncées corrigées dans la version 10.3.2, mais Huntress a constaté que la version 10.3.4, la plus récente, est aussi touchée. En attendant un correctif, Huntress conseille de n’ouvrir l’interface d’administration qu’à des adresses IP de confiance.
openDesk, la suite bureautique libre de l’administration allemande, prépare un agent IA et un mode isolé
Le Centre pour la souveraineté numérique de l’administration publique allemande (ZenDiS) montrera du 13 au 15 octobre à la Smart Country Convention de Berlin deux prototypes pour openDesk. Le premier est un agent d’intelligence artificielle capable d’agir dans toutes les applications de la suite, par exemple pour rédiger un briefing quotidien à partir du courrier, de l’agenda, de la gestion de projets et des notes ; il passe par un serveur local MCP (Model Context Protocol). Le second fait tourner openDesk entièrement coupé d’Internet (« air-gapped »), avec toutes ses fonctions, sur un serveur local relié à des tablettes.
