🔍 Contexte

Rapport publiĂ© le 22 septembre 2026 par Gambit Security (Eyal Sela, Director of Threat Intelligence). L’Ă©quipe a rĂ©cupĂ©rĂ© le serveur de staging de l’opĂ©rateur et reconstruit la campagne. L’activitĂ© remonte Ă  juillet 2026 et est toujours en cours au moment de la publication.

🎯 Description de la campagne

Un acteur financiĂšrement motivĂ© exploite trois harnesses IA open source (Strix, Cairn, Hermes) pour attaquer des centaines de retailers en ligne de maniĂšre quasi-autonome. Entre le 10 et le 15 septembre 2026, 105 projets d’attaque ont Ă©tĂ© lancĂ©s et au moins 27 entreprises compromises. Le coĂ»t marginal par cible est de 25,46 $ en moyenne (de 3,13 $ Ă  79,31 $).

Les victimes confirmées incluent :

  • Une entreprise Fortune 500 dans l’hĂŽtellerie
  • Une grande compagnie aĂ©rienne amĂ©ricaine
  • Un distributeur industriel amĂ©ricain
  • Un retailer de mode amĂ©ricain
  • Des retailers de vĂ©los, vins, armes Ă  feu, produits beautĂ©, acier, impression photo, etc.

đŸ€– Outils IA utilisĂ©s

  • Hermes : agent IA autonome avec mĂ©moire persistante, chargĂ© de l’orchestration. Persona “SOUL - Red Team Operator” en chinois. 121 skills dont 78 offensifs. Utilise Anthropic opus-4.6. 1 951 prompts humains en chinois sur 260 sessions.
  • Strix : outil de pentest IA open source pour la recherche de vulnĂ©rabilitĂ©s. 146 scans en mode deep contre 138 hĂŽtes. Utilise GLM 5.2 puis DeepSeek v4 Pro via OpenRouter.
  • Cairn : moteur de pentest autonome end-to-end. Utilise DeepSeek v4.1 Flash. Reçoit un domaine cible et un objectif, s’exĂ©cute jusqu’Ă  l’atteindre.

Coût total estimé : entre 12 000 et 18 000 $ sur ~7 semaines via OpenRouter.

💳 Impact

  • +600 000 enregistrements de cartes bancaires exfiltrĂ©s depuis deux entreprises (79% de cartes amĂ©ricaines)
  • Skimmers injectĂ©s sur les pages de paiement de 5 entreprises confirmĂ©es, dĂ©tectĂ©s sur +100 sites au total
  • Destruction de donnĂ©es : effacement des tables de cartes aprĂšs extraction (“Database Wipe After Extraction”), et suppression accidentelle de 180 tables chez un retailer de vĂ©los
  • AccĂšs Ă  des secrets AWS (46 secrets, 102 Ko), bases Magento Aurora, clĂ©s de chiffrement Blowfish-ECB

🔗 Exemple de chaĂźne d’exploitation (Cairn)

  1. SQLi non authentifiée (paramÚtre email, EXTRACTVALUE)
  2. Lecture OTP en clair → bypass MFA
  3. AccĂšs panneau admin
  4. Upload de fichier arbitraire → RCE
  5. Escalade sudo NOPASSWD python3.12 → root
  6. Montage NFS (no_root_squash) → credentials WP
  7. Accùs WP admin → upload plugin → RCE blog
  8. Dump AWS Secrets Manager complet
  9. AccĂšs DB Magento Aurora → extraction clĂ© de chiffrement → dĂ©chiffrement cartes

💉 MĂ©thodes d’injection de skimmers

  • Ajout en fin de fichier JS lĂ©gitime (jQuery, Bootstrap) avec restauration du timestamp
  • Balise script Ă©trangĂšre sur la page de paiement
  • Insertion dans le bloc Google Tag
  • Empoisonnement S3 (clĂ© AWS avec droits write sur le CDN)
  • Injection dans des champs de contenu en base de donnĂ©es
  • Ajout en tant que Kubernetes initContainer
  • Empoisonnement du cache serveur
  • TĂąche cron persistante rĂ©parant l’injection aprĂšs redĂ©ploiement

📋 Type d’article

Rapport d’incident intermĂ©diaire publiĂ© par une Ă©quipe de threat intelligence, visant Ă  documenter une campagne active, partager des IoCs et alerter les organisations affectĂ©es.

🧠 TTPs et IOCs dĂ©tectĂ©s

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1053.003 — Scheduled Task/Job: Cron (Persistence)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1070.006 — Indicator Removal: Timestomp (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1485 — Data Destruction (Impact)
  • T1005 — Data from Local System (Collection)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1552.005 — Unsecured Credentials: Cloud Instance Metadata API (Credential Access)
  • T1548.003 — Abuse Elevation Control Mechanism: Sudo and Sudo Caching (Privilege Escalation)
  • T1210 — Exploitation of Remote Services (Lateral Movement)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1090 — Proxy (Command and Control)
  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1102 — Web Service (Command and Control)
  • T1560 — Archive Collected Data (Collection)

IOC

⚠ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 23 septembre 2026 et n’ont pas fait l’objet d’une vĂ©rification externe. Un indicateur peut avoir Ă©tĂ© rĂ©attribuĂ© depuis : une IP de C2 peut redevenir un service lĂ©gitime, un domaine sinkholĂ© peut changer de propriĂ©taire. Aucune garantie d’exactitude ni d’actualitĂ© — contrĂŽlez leur validitĂ© avant tout usage opĂ©rationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Hermes (framework)
  • Strix (tool)
  • Cairn (framework)
  • Web Skimmer (stealer)

🟡 Indice de vĂ©rification factuelle : 62/100 (moyenne)

  • ⬜ gambit.security — source non rĂ©fĂ©rencĂ©e (0pts)
  • ✅ 18270 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 25 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/9 IOCs confirmĂ©s (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 21 TTPs MITRE identifiĂ©es (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommĂ© (0pts)
  • ⬜ pas de CVE Ă  vĂ©rifier (0pts)

IOCs confirmés externellement :

  • 155.254.22.215 (ip) → VT (3/89 dĂ©tections)
  • b8t.shop (domain) → VT (6/89 dĂ©tections)

🔗 Source originale : https://gambit.security/blog-posts/autonomous-ai-agents-online-retailers-25-a-company