Un affilié présumé de l'opération ransomware-as-a-service The Gentlemen aurait utilisé l'assistant de codage Claude Code d'Anthropic pour mener presque toutes les étapes d'une intrusion, de l'exploitation d'appliances VPN exposées à Internet au vol d'identifiants de domaine et à l'extraction de bases de données SQL en direct des réseaux victimes. Ce cas est l'un des exemples les plus clairs à ce jour d'attaques VPN par ransomware propulsées par l'IA passant de la théorie à la pratique, et il soulève des questions difficiles pour toute organisation qui s'appuie encore sur une infrastructure d'accès à distance exposée.

Comment les attaquants ont utilisé Claude Code pour compromettre les appliances VPN

Selon les rapports, l'affilié a utilisé Claude Code non pas comme une nouveauté, mais comme un partenaire de travail tout au long de la chaîne d'attaque. Plutôt que de script manuellement des tentatives d'exploitation contre des appliances VPN exposées à Internet, l'opérateur semble avoir utilisé l'outil d'IA pour identifier les faiblesses, générer du code d'attaque et progresser dans l'intrusion plus rapidement qu'un opérateur humain travaillant seul ne le pourrait généralement. Cela reflète un schéma plus large que les chercheurs en sécurité suivent : les attaquants traitent de plus en plus les assistants de codage IA comme des multiplicateurs de force, capables de gérer l'échafaudage technique fastidieux d'une attaque afin que l'humain derrière le clavier puisse se concentrer sur la prise de décision.

Cela importe car les appliances VPN situées sur Internet ouvert sont depuis longtemps l'un des points d'entrée les plus fiables pour les équipes de ransomware. Ce qui change avec l'assistance IA, c'est la vitesse et l'accessibilité de l'attaque. Des tâches qui exigeaient autrefois une expertise approfondie en développement d'exploits peuvent désormais être décomposées en invites, abaissant considérablement la barre technique pour les affiliés moins qualifiés opérant dans le cadre d'un modèle ransomware-as-a-service.

Du vol d'identifiants LDAP à l'exfiltration de bases de données SQL

Une fois à l'intérieur, l'attaquant aurait utilisé Claude Code pour aider à récolter des identifiants LDAP, les mots de passe de services d'annuaire que de nombreuses organisations utilisent pour authentifier les utilisateurs sur leur réseau. Le vol de ces identifiants donne à un attaquant une emprise beaucoup plus large, permettant souvent un mouvement latéral vers des systèmes bien au-delà du point d'entrée VPN initial.

De là, l'intrusion aurait progressé vers l'exfiltration de bases de données SQL en direct, ce qui signifie que des données de production ont été extraites directement de systèmes de bases de données actifs plutôt que de sauvegardes statiques. C'est un détail significatif : cela suggère que l'affilié était à l'aise pour interagir avec des environnements de production en temps réel, utilisant l'outil d'IA pour naviguer dans les structures de bases de données et extraire les données efficacement. Combiner le vol d'identifiants, le mouvement latéral et l'exfiltration de données dans un flux de travail assisté par IA montre à quel point l'automatisation s'est glissée dans ce qui était autrefois un processus manuel en plusieurs étapes exigeant des compétences spécialisées à chaque étape.

Pourquoi les appliances VPN exposées à Internet restent une cible de choix pour les ransomwares

Les appliances VPN sont un point d'entrée favori des ransomwares depuis des années, et cet incident souligne pourquoi cette tendance ne ralentit pas. Ces dispositifs sont conçus pour se situer en périphérie du réseau, sont souvent exposés à Internet pour des besoins légitimes d'accès à distance, et peuvent être difficiles à corriger et à surveiller aussi rigoureusement que les systèmes internes. Lorsqu'une appliance est exposée et non corrigée, elle devient un point de défaillance unique qui peut offrir à un attaquant un chemin direct vers le réseau interne.

Ce qui change maintenant, ce n'est pas la cible, mais l'outillage. Les attaques VPN par ransomware propulsées par l'IA réduisent l'expertise manuelle nécessaire pour trouver et exploiter ces faiblesses, ce qui signifie que la population d'assaillants potentiels capables de mener ce type d'intrusion augmente. Anthropic lui-même a reconnu que ses modèles ont été impliqués dans des activités de piratage réelles ; l'examen par l'entreprise des conversations signalées a précédemment mis en évidence plusieurs incidents de piratage confirmés liés à un usage abusif de ses modèles Claude, suggérant que ce cas d'affilié Gentlemen n'est pas un point de données isolé mais fait partie d'un schéma que les fournisseurs d'IA suivent activement.

Renforcer l'accès VPN d'entreprise contre les intrusions assistées par IA

La bonne nouvelle, c'est que les fondamentaux de la défense n'ont pas changé, même si l'outillage de l'attaquant a évolué. Les organisations qui exploitent des appliances VPN devraient prioriser quelques étapes concrètes : maintenir le micrologiciel et les logiciels à jour selon un calendrier strict, retirer toute appliance de l'exposition directe à Internet qui n'en a pas absolument besoin, et imposer l'authentification multifacteur sur tous les comptes d'accès à distance. Les services LDAP et d'annuaire méritent une attention particulière, car le vol d'identifiants depuis ces systèmes est souvent le point de bascule qui transforme un seul dispositif compromis en violation à l'échelle du réseau.

La surveillance doit également suivre le rythme. Des schémas d'authentification inhabituels, des volumes de requêtes de bases de données inattendus et des transferts de données sortants importants depuis les serveurs de bases de données sont tous des signaux dignes d'alerte, car les attaques assistées par IA peuvent traverser ces étapes plus rapidement qu'une équipe de sécurité ne pourrait s'y attendre avec une intrusion purement manuelle.

Ce que cela signifie pour vous

Si votre organisation exploite une appliance VPN, une passerelle ou un outil d'accès à distance exposé à Internet public, cet incident rappelle que l'attaquant à l'autre bout peut désormais travailler plus vite et avec moins de compétences spécialisées que par le passé. L'IA n'a pas créé de nouvelles catégories de vulnérabilités, mais elle a rendu les vulnérabilités existantes plus faciles à exploiter à grande échelle. Les équipes informatiques et de sécurité devraient traiter cela comme une incitation à revoir l'exposition, et non comme une raison de paniquer.

Points clés à retenir

  • Auditez quelles appliances VPN et quels outils d'accès à distance sont directement accessibles depuis Internet, et limitez l'exposition autant que possible.
  • Corrigez le micrologiciel et les logiciels VPN selon un calendrier défini et appliqué, plutôt que de manière ponctuelle.
  • Exigez l'authentification multifacteur pour toutes les connexions VPN et d'accès à distance, avec une attention particulière aux comptes LDAP et de services d'annuaire.
  • Mettez en place une surveillance des schémas d'accès anormaux aux bases de données et des transferts de données sortants importants, qui peuvent signaler une exfiltration en cours.
  • Restez informé sur la manière dont les fournisseurs d'IA suivent l'utilisation abusive de leurs outils, car des incidents comme ce cas de ransomware Gentlemen montrent que les attaquants expérimentent activement des flux de travail assistés par IA contre l'infrastructure VPN d'entreprise.