Les acteurs malveillants ont basculé leurs tactiques : au lieu de chercher des failles de sécurité classiques, ils détournent désormais la confiance que nous accordons à l’écosystème d’entreprise. Selon un rapport trimestriel de Elastic Security Threat Command, les intrusions récentes s’appuient massivement sur des logiciels légitimes – des assistants de codage IA aux outils de gestion à distance (RMM) – pour maintenir un accès persistant aux systèmes ciblés.

Cette nouvelle approche transforme la fondation de la sécurité. On se fie à un assistant IA parce qu’il est dans une liste d’outils approuvés, ou on fait confiance à un outil de surveillance à distance car l’IT l’a installé. Or, ce rapport, basé sur des intrusions confirmées entre avril et septembre 2026, montre comment cette confiance est activement utilisée contre les défenseurs.

Comment les outils légitimes deviennent des vecteurs d’attaque

Le passage aux payloads légitimes est une tendance lourde. Il est frappant de noter que, dans 23 cas d’abus de RMM documentés, ScreenConnect est apparu comme le produit mentionné le plus souvent. Le problème, c’est la vitesse. Dans une occurrence notée dans le secteur de la santé, le chemin, partant d’un leurre à lancer-et-exécuter jusqu’à la livraison via un installeur MSI avec un chargement dynamique de bibliothèques (DLL sideloading), n’a pris que seize secondes. Les attaquants n’ont plus besoin d’injecter des malwares complexes ; ils pénètrent en profitant du statut de confiance de l’outil lui-même.

Les assistants IA sont également au cœur de ces opérations. Des chercheurs ont documenté des intrusions où des outils comme Claude Code sur Windows, via son extension Visual Studio Code, ont servi à préparer des outils et à communiquer avec un serveur externe de manière voilée. Sur macOS, l’application de bureau ChatGPT a permis de lire des documents internes et d’accéder au magasin de mots de passe de l’utilisateur. Ces cas montrent que l’abus survient après l’obtention d’un accès initial, transformant des logiciels de travail en vecteurs de commande.

Le temps de l’accès : une course contre la montre

La vulnérabilité liée aux identifiants volés se concrétise avec une rapidité alarmante. D’après Elastic, dans 27 cas d’infostealer confirmés, les attaquants ont réussi à se connecter en moyenne huit minutes après la collecte des données. Cette fenêtre de huit minutes est particulièrement critique, car elle est souvent atteinte via des kits de phishing de type Adversary-in-the-Middle (AiTM).

Ces kits ne brisent pas directement la double authentification (MFA) ; ils agissent comme un relais. Lorsque la victime entre ses identifiants et valide l’authentification, le kit intercepte la session authentifiée, permettant à l’attaquant de prendre le relais sans jamais avoir besoin du mot de passe ou du code MFA en temps réel. En outre, des tentatives d’exploitation des anciens mécanismes d’authentification sans facteur secondaire ont été observées, compliquant encore la défense.

Face à cette réalité, la simple mise à jour des signatures logicielles s’avère insuffisante. Quand l’attaquant opère dans un logiciel de confiance ou au nom d’un utilisateur de confiance, la réponse doit être comportementale. Les experts insistent sur le besoin d’analyser les comportements utilisateurs et entités (UEBA) pour établir une ligne de base de l’activité normale. Il faut une visibilité transversale et une corrélation active sur l’ensemble de l’environnement de sécurité. L’enjeu n’est plus de savoir si l’application est approuvée, mais ce qu’elle fait réellement.

La nécessité d’automatiser les tâches de tri devient évidente. Avec des chaînes d’attaque traversant les conteneurs, les plans de contrôle cloud et les utilisateurs légitimes, il est de plus en plus difficile de distinguer un comportement bénin d’un comportement malveillant. La surveillance des activités de bas niveau du système, au-delà de l’application qui les déclenche, est devenue une exigence pour rester à jour avec la vélocité des offensives assistées par IA.

Sources

• RMM tool abuse and AI-driven attacks: threats etc report, elastic.co
• An average of 8 minutes is all hackers need to log in with stolen credentials, Help Net Security, 9 novembre 2026
• Elastic threat report: stolen logins used within eight minutes as attackers turn trusted AI agents and IT tools on their owners, iTWire, 5 novembre 2026