🌐 Contexte

Publié le 27 octobre 2026 par TrendAI Security (Bakuei Matsukawa et Joseph C Chen), cet article analyse trois infrastructures d’attaque distinctes ayant ciblé principalement des organisations japonaises en 2026. Il fait suite à une alerte du gouvernement japonais du 9 octobre 2026 décrivant le cyberespace comme en « état d’urgence ».

🔍 Trois cas distincts

Cas A – Exécution autonome par IA (CyberStrikeAI) :

  • Utilisation confirmée de CyberStrikeAI, outil open-source de pentest basé sur des agents IA
  • Workflow entièrement automatisé : reconnaissance, découverte de vulnérabilités, exploitation, C2, persistance, exfiltration, reporting
  • Configuration de 44 agents parallèles répartissant les tâches
  • Au moins 19 organisations ciblées (dont 16 au Japon), Taiwan et Hong Kong également visés
  • Période : octobre 2026, concentrée sur une courte durée
  • Interface en chinois simplifié

Cas B – Assistance IA sous direction humaine :

  • Utilisation confirmée d’un LLM pour la planification et le développement d’outils
  • L’attaquant a utilisé de fausses prémisses pour contourner les garde-fous du modèle
  • Cibles : systèmes web legacy et infrastructures AI/GPU (plateformes de workflow LLM, services d’inférence)
  • Objectif probable : obtenir de la capacité d’inférence à faible coût
  • Compromissions profondes confirmées : chaîne FTP/BDD/admin/webshell/SSH, vol de centaines de milliers d’enregistrements cadastraux et commerciaux
  • Période : août–septembre 2026 (~24 jours)

Cas C – Assistance IA limitée au développement d’outils :

  • Haute confiance (non confirmée directement) d’usage d’IA pour la génération de scripts
  • Indicateurs stylistiques : annotations echo '=== ... ===', emojis dans les scripts, commentaires structurés
  • Cibles : VPN exposés (Cisco SD-WAN, Citrix NetScaler, F5 BIG-IP, Yamaha RTX1210) et Oracle WebLogic Server
  • Au moins 6 campagnes en 2026, plusieurs en parallèle
  • Japon et Corée du Sud principalement ; listes incluant UK, France, Italie, Qatar, Colombie
  • Période : janvier–octobre 2026

🎯 Points communs

  • Langue de travail : chinois simplifié dans les trois cas
  • Points d’entrée : systèmes legacy exposés, configurations par défaut, interfaces d’administration accessibles
  • Ciblage opportuniste : tous secteurs confondus, focus géographique sur le Japon
  • Activité antérieure aux rapports ARTEX précédemment publiés

🛠️ Vulnérabilités et outils

  • Exploitation de CVE-2026-109618 et CVE-2026-109619 (PHP2Shell) mentionnées comme découvertes par audit IA défensif
  • Réutilisation de credentials issus de fichiers de configuration pour les RTX1210
  • Aucun zero-day exploité par les attaquants dans les trois cas

📊 Nature de l’article

Il s’agit d’une publication de recherche CTI basée sur l’analyse de fichiers laissés dans des répertoires ouverts sur des serveurs contrôlés par les attaquants. Les IOCs sont volontairement retenus pour ne pas interférer avec les enquêtes en cours.

🧠 TTPs et IOCs détectés

TTP

  • T1595 — Active Scanning (Reconnaissance)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1078 — Valid Accounts (Initial Access)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1110 — Brute Force (Credential Access)
  • T1071 — Application Layer Protocol (Command and Control)
  • T1083 — File and Directory Discovery (Discovery)
  • T1021.004 — Remote Services: SSH (Lateral Movement)

IOC

  • CVEs : CVE-2026-109618 — NVD · CIRCL
  • CVEs : CVE-2026-109619 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 29 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • CyberStrikeAI (framework)

🟡 Indice de vérification factuelle : 51/100 (moyenne)

  • ⬜ trendaisecurity.com — source non référencée (0pts)
  • ✅ 26251 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.trendaisecurity.com/en-us/resources-insights/deep-research/not-only-artex-the-different-levels-ai-is-used-in-attacks-targeting-japan