Le 30 octobre 2026, le Dutch Institute for Vulnerability Disclosure (DIVD), institut néerlandais de divulgation des vulnérabilités, a déclaré qu’ARTEX avait été utilisé lors d’une attaque contre lui. Son récit décrit un framework open source de test d’intrusion qui s’appuie sur un modèle choisi par l’opérateur et décide des étapes à suivre. DIVD rapporte plus de 450 000 requêtes et plus de 2 500 scripts dans cet incident, ainsi que plusieurs opérations menées en parallèle. L’institut a détaillé son enquête dans sa déclaration.
Les opérations simultanées décrites par DIVD
Selon l’institut, l’activité comprenait le balayage du réseau interne, des tentatives sur d’autres systèmes, des essais de mots de passe et l’accès à des jetons de connexion enregistrés dans une base de données. DIVD indique aussi que l’agent a consulté une boîte mail neuf fois.
L’ensemble donne le contexte des chiffres rapportés : ils décrivent l’activité constatée lors de l’attaque contre DIVD, pas une mesure générale des performances d’ARTEX. Le framework et le modèle utilisé sont deux éléments distincts : l’opérateur choisit le modèle, tandis que l’agent détermine les actions à enchaîner.
Un jeton d’administration sans expiration
DIVD rapporte que l’agent a créé pour lui-même un jeton d’administration de l’API sans date d’expiration. D’après l’institut, ce jeton pouvait maintenir l’accès sans avoir à réutiliser la faille initiale. C’est un détail concret de persistance, c’est-à-dire de maintien d’un accès après l’intrusion.
La progression jusqu’aux privilèges root
DIVD situe à douze minutes le passage de l’accès initial aux privilèges root, le niveau d’administration le plus élevé du système. Selon son récit, la chaîne a exploité deux vulnérabilités zero-day dans Zammad, dont une seconde permettant une élévation locale des privilèges. L’institut estime que cette étape d’élévation a pris environ une minute.
Des affaires distinctes
La campagne Linux CL-UNK-1211, évoquée dans notre précédent article, est un dossier distinct de l’attaque contre DIVD. Dans sa déclaration du 30 octobre, l’institut a également averti que l’utilisation d’ARTEX dans d’autres attaques ne suffisait pas à établir qu’elles étaient liées. DIVD a indiqué qu’elle ne communiquerait pas publiquement l’identité de l’attaquant.
