Présentation

NorForge a identifié plus de vingt panneaux Cairn accessibles sans authentification, dont la plupart sont liés à des activités malveillantes. Cairn est décrit comme un système de hacking alimenté par l’IA : on fournit une cible et un objectif, puis le moteur coordonne des agents autonomes pour explorer la cible, détecter des failles et tenter d’y pénétrer. Les panneaux exposés révèlent des informations détaillées sur les cibles, les vulnérabilités découvertes, les secrets de comptes et les clés d’API, offrant ainsi une visibilité rare sur les méthodes d’intrusion automatisées.

Architecture et fonctionnement

Chaque mission dans Cairn constitue un projet avec un point de départ appelé origin et un objectif final pré‑défini. Le cadre d’agents progresse de façon state‑based, en alternant des cycles d’intents (actions prévues) et de facts (données découvertes). Chaque fait est publié sur un blackboard interne au projet, accessible à tous les agents et aux opérateurs humains qui peuvent y ajouter des hints. Cette architecture en tableau partagé permet aux différents travailleurs d’utiliser les mêmes connaissances pour avancer vers la solution, et Cairn offre une visualisation graphique de ce processus.

Analyse des campagnes observées

Parmi les panneaux, le groupe identifié comme ClusterAIA0001 se distingue. Il utilise le chinois, regroupe quatorze tableaux hébergés chez AS56594 (Cgi Global Limited) et a généré plus de 1 100 projets d’attaque. Les cibles sont majoritairement des sites de commerce électronique aux États‑Unis, au Japon et en Australie, avec un trafic estimé entre 200 000 et 1,5 million de visites. Avant d’être transmis à Cairn, chaque cible est validée avec Playwright, le framework d’automatisation de navigateur de Microsoft, afin de confirmer la possibilité de passer des commandes ou de déposer des fichiers. Les objectifs typiques incluent la recherche de RCE non authentifié, d’injections SQL, de désérialisations dangereuses, d’upload de fichiers ou d’escalade via SSRF. Le payload fourni est un chargeur de type « uploader shell », c’est‑à‑dire un formulaire HTML qui déplace le fichier uploadé sur le serveur, sans exécuter directement de commande. Une anomalie récurrente a été repérée : un normaliseur de domaine supprime systématiquement la lettre « w », transformant « wholesale » en « holesale ». Cette faiblesse de traitement facilite la corrélation entre panneaux. Un accès temporaire à un serveur haute‑port a permis d’observer le texte suivant, extrait d’une mise à jour d’agent :

Agent task update
The local environment is a Kali container, belonging to the tsec CTF/intelligent penetration test competition framework (there is a flag submission interface…)

Cette indication montre que les agents s’exécutent dans un conteneur Kali, intégré au cadre de compétition tsec, ce qui suggère une réutilisation d’outils de test de pénétration automatisés.

Risques et recommandations

L’exposition publique de panneaux Cairn crée un vecteur d’attaque direct : les acteurs malveillants peuvent lancer des campagnes à grande échelle sans franchir de barrière d’authentification. Les équipes de red‑team légitimes qui laissent leurs tableaux accessibles risquent de voir leurs propres clients compromis. Il est donc indispensable de restreindre l’accès aux interfaces web via authentification forte, de surveiller régulièrement les bases de données de balayage comme Shodan ou Censys, et d’appliquer des listes blanches d’adresses IP. La mise en place de journaux d’accès détaillés et la rotation fréquente des clés d’API constituent également des mesures de mitigation efficaces.