Stovky nástrojů Artex pro hackerské útoky jsou volně přístupné na internetu
Bezpečnostní firma Censys našla přes 800 nasazení nástroje Artex dostupných z internetu bez přihlášení. Neznamená to, že je jejich provozovatelé používají k útokům, veřejná dostupnost ale může usnadnit zneužití systému i jeho nástrojů.
Přes 800 veřejně dostupných instalací
Bezpečnostní výzkumníci objevili stovky kopií nástroje Artex, které byly přístupné z internetu bez hesla. Firma Censys, která vyhledává veřejně dostupné a zranitelné systémy, zaznamenala více než 800 samostatných nasazení. Podle jejího výzkumníka Silase Cutlera není jasné, proč jsou tyto systémy vystavené internetu: Artex přitom nemusí být pro své fungování z internetu dostupný.
Samotný nález neznamená, že každý z provozovatelů plánuje kybernetické útoky. Část nasazení může sloužit bezpečnostním odborníkům, kteří mají testování povolené. Veřejné rozhraní však může zpřístupnit nástroj i lidem, kteří k němu nemají mít přístup.
Nástroj pro automatizované testování
Artex je open-source nástroj pro automatizované penetrační testování, tedy hledání slabin v počítačových systémech. Jeho čínský původ a schopnosti z něj podle článku TechCrunch učinily dostupnou alternativu pro uživatele, kteří nemají přístup k nejpokročilejším modelům Anthropic nebo OpenAI pro kybernetickou bezpečnost. Nástroj byl zveřejněn v červenci a od té doby se jeho použití objevilo v souvislosti s několika kybernetickými útoky.
Microsoft dříve popsal Artex jako soustavu agentů umělé inteligence, která dokáže provádět kybernetický útok od průzkumu až po odcizení dat a potřebuje k tomu jen omezený zásah člověka. Veřejně přístupné instalace navíc mohou odhalovat takzvané implantáty — skrytý škodlivý software, který útočníkům pomáhá proniknout do sítě a udržet si v ní přístup.
Souvislost s útoky v Koreji i na ConnectWise
Bezpečnostní firmy spojily Artex s rozsáhlými útoky na korejský finanční sektor v září. CrowdStrike je připsal čínsky mluvícímu hackerovi, který při nich využil instanci Artexu. Jedním z vodítek byl veřejně přístupný adresář obsahující systém. Censys uvedl, že tato instance byla dostupná z internetu celé měsíce. Podle jeho analýzy obsahovala také údaje o útocích, které se netýkaly jen jihokorejských bank, ale také platebních a herních společností.
Artex se objevil také při říjnovém útoku na společnost ConnectWise, která poskytuje IT podporu. Útočníci napojení na Čínu díky němu podle Microsoftu pronikli do cloudových prostředí zákazníků a získali jejich data. Týkalo se to tisíců organizací, jejichž soubory a informace jsou uložené v cloudu Microsoftu. Microsoft upozornil, že rychlost útoku obráncům ponechala jen málo času na jeho odhalení a reakci.
Slabá hesla i chybná nastavení
Část útoků spojených s Artexem využívala základní nedostatky, například snadno uhodnutelná či známá hesla nebo chybějící vícefaktorové ověřování. Riziko tak podle zjištění nespočívá pouze v samotném nástroji: špatné nastavení může vystavit internetu jak prostředky útočníků, tak systémy jejich cílů.
Artex oznámil přechod na uzavřený zdrojový kód, což má další vydávání omezit na platící zákazníky. Na webech pro sdílení kódu však podle článku zůstávají desítky kopií, které lze nadále využít při aktivních útocích.