🔍 Contexte

Publié le 30 juillet 2026 par Unit 42 (Palo Alto Networks), ce rapport documente une campagne offensive autonome pilotée par intelligence artificielle, attribuée à un acteur sinophone opérant sous les alias knaithe et KnYuan, basé à Zhuhai, Chine.

🤖 Infrastructure offensive IA

L’acteur a déployé DeepSeek comme moteur de raisonnement au sein du framework Hermes Agent (NousResearch), configuré avec des compétences offensives personnalisées :

  • godmode : jailbreaking LLM
  • web-terminal-exploitation : exploitation WebSocket non authentifiée
  • fofa-cyberspace-search : énumération d’actifs via FOFA

L’orchestration s’effectuait via Telegram (C2). L’acteur a également testé Claude Code, Codex (GPT-5.4), Qwen Code, GLM, Kimi et MiniMax, routant les outils occidentaux via un proxy tiers (code.newcli[.]com) pour réduire la traçabilité.

🔄 Cycle d’attaque autonome (session du 7 mai 2026)

Phase 1 — Langflow (CVE-2026-33017, CVSS 9.8) : DeepSeek a téléchargé un PoC public, énuméré 84 instances via FOFA, identifié une cible vulnérable (v1.3.4), mais l’exploitation a échoué (auto_login désactivé).

Phase 2 — Recherche CVE autonome : Après échec, DeepSeek a sondé 10 familles de produits via FOFA et recherché des PoC GitHub 2026 triés par étoiles, sélectionnant n8n (258 étoiles, CVSS 10.0, 647 017 instances mondiales).

Phase 3 — n8n (CVE-2026-21858 + CVE-2025-68613) : Acquisition du PoC depuis le dépôt Chocapikk, analyse des versions vulnérables (< 1.121.0 / 1.120.4).

Phase 4 — Exploitation n8n : 3 instances vulnérables identifiées, mais toutes avec authentification sur les formulaires requis — exploitation échouée.

🎯 Campagnes manuelles avec impact confirmé

CVE Produit Impact
CVE-2026-3055 Citrix NetScaler ADC & Gateway Exfiltration de données (3 organisations, dont entité gouvernementale malaisienne)
CVE-2026-39987 Marimo Notebook Exécution de commandes (11 instances)
CVE-2026-34486 Apache Tomcat Tentatives reverse shell (9 serveurs)
CVE-2026-33824 Windows IKE Extensions Tentatives reverse shell (3 endpoints)
CVE-2026-0300 PAN-OS User-ID Auth Portal PoC cloné, non exécuté

🕵️ Attribution

Acteur opportuniste, chercheur en sécurité binaire auto-déclaré, maintenant 1DayNews (pipeline d’intelligence sur les vulnérabilités via DeepSeek/Telegram). Victimes confirmées dans 3 pays, ciblage indiscriminé en Chine pour les campagnes autonomes, ciblage intentionnel (Malaisie, gouvernement) pour les campagnes manuelles.

📌 Type d’article

Publication de recherche technique et rapport d’attribution par Unit 42, visant à documenter l’émergence opérationnelle des capacités offensives autonomes pilotées par IA.

🧠 TTPs et IOCs détectés

Acteurs de menace

  • knaithe / KnYuan (unknown) —

TTP

  • T1595.001 — Active Scanning: Scanning IP Blocks (Reconnaissance)
  • T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)
  • T1588.006 — Obtain Capabilities: Vulnerabilities (Resource Development)
  • T1588.005 — Obtain Capabilities: Exploits (Resource Development)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1090 — Proxy (Command and Control)
  • T1102 — Web Service (Command and Control)
  • T1005 — Data from Local System (Collection)
  • T1550.004 — Use Alternate Authentication Material: Web Session Cookie (Lateral Movement)

IOC

  • Domaines : code.newcli.com — VT · URLhaus · ThreatFox
  • CVEs : CVE-2026-33017 — NVD · CIRCL
  • CVEs : CVE-2026-21858 — NVD · CIRCL
  • CVEs : CVE-2025-68613 — NVD · CIRCL
  • CVEs : CVE-2026-3055 — NVD · CIRCL
  • CVEs : CVE-2026-34486 — NVD · CIRCL
  • CVEs : CVE-2026-39987 — NVD · CIRCL
  • CVEs : CVE-2026-0300 — NVD · CIRCL
  • CVEs : CVE-2026-33824 — NVD · CIRCL
  • Fichiers : langflow_poc.py
  • Fichiers : fofoapi.py
  • Chemins : /home/worker

Malware / Outils

  • Hermes Agent (framework)
  • DeepSeek (tool)
  • FofaMap-Platinum-Full-Expert (tool)
  • 1DayNews (tool)
  • Nuclei (tool)
  • Claude Code (tool)
  • Codex (tool)
  • Qwen Code (tool)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ✅ unit42.paloaltonetworks.com — source reconnue (liste interne) (20pts)
  • ✅ 20891 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 12 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/1 IOCs confirmés externellement (0pts)
  • ✅ 12 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : knaithe / KnYuan (5pts)
  • ⬜ 0/5 CVE(s) confirmée(s) (0pts)

🔗 Source originale : https://unit42.paloaltonetworks.com/autonomous-ai-cyber-attack-campaign/?utm_source=substack&utm_medium=email