Investigadores encuentran cientos de herramientas de hacking de Artex IA expuestas en línea

Investigadores de seguridad han encontrado cientos de copias de Artex, una herramienta de código abierto para pruebas de penetración autónomas, expuestas públicamente en internet.

Qué encontraron los investigadores

Censys, una firma de ciberseguridad que escanea internet en busca de sistemas expuestos, identificó más de 800 implementaciones distintas de Artex accesibles desde la web sin contraseña. Un informe separado describió 1,465 hosts con acceso a internet que ejecutan el framework de pruebas de penetración ARTEX impulsado por IA. Tras eliminar aproximadamente 650 hosts que compartían configuraciones repetidas en dos proveedores de alojamiento, el recuento dejó aproximadamente 815 implementaciones de apariencia distinta.

Los sistemas expuestos incluían herramientas de ataque como implantes, herramientas de movimiento lateral de Windows, implantes de Linux, scripts de reverse-shell y stagers compilados. Los investigadores encontraron 32 directorios abiertos que exponían herramientas, implantes y archivos de operador. En el conjunto de datos más amplio, 155 hosts, o el 10.6% del total, portaban otra detección de amenazas de Censys.

Ataques vinculados

CrowdStrike vinculó la infraestructura de ARTEX con ataques contra organizaciones financieras de South Korea durante finales de septiembre y principios de octubre. El servidor ARTEX del actor, 38.244.50[.]120, utilizó DeepSeek v4.1-flash, aparentemente accedido a través de un revendedor de API. CrowdStrike evaluó con confianza moderada que el operador no atribuido tenía motivaciones financieras y era de habla china.

Microsoft atribuyó el compromiso de la cadena de suministro de ConnectWise Cloud Backup a Storm-0940, alineado con China. Los investigadores de Censys dijeron que el actor utilizó ARTEX para acelerar el reconocimiento, el password spraying y el abuso de aplicaciones OAuth, intentando la autenticación contra más de 2,250 inquilinos de clientes. Algunas intrusiones alcanzaron el acceso privilegiado a la nube en tres horas.

Qué dicen los investigadores

Silas Cutler, investigador principal de seguridad en Censys, dijo que no todas las instancias de Artex son operadas maliciosamente y muchas son utilizadas por testers autorizados. Censys describió a ARTEX como un framework de doble uso, no una familia de malware. Microsoft ha descrito anteriormente a Artex como un sistema de agentes de IA que pueden realizar ciberataques "desde el reconocimiento hasta la exfiltración de datos con poca interacción humana necesaria".

Por qué es importante

Los sistemas accesibles públicamente aumentan la posibilidad de que alguien los encuentre y los use de forma indebida. Los directorios expuestos también revelan herramientas de ataque y archivos de operador. Los investigadores advierten que la exposición pública por sí sola no establece actividad maliciosa, ya que los testers de seguridad autorizados pueden usar ARTEX.

Fuentes (en inglés)

• techcrunch.com: Hundreds of Artex AI hacking tools found publicly exposed to the web | TechCrunch
• cybersecuritynews.com: ARTEX AI Hacking Framework Found on 1,465 Public Servers, Some Hosting Cyberattack Tools
• gbhackers.com: ARTEX AI Framework Linked to Bank Breaches and Cloud Attacks Found Exposed Across Hundreds of Servers

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.