Исследователи обнаружили более 800 открытых из интернета установок Artex

Censys обнаружила более 800 отдельных развёртываний Artex, к которым можно было обратиться из интернета без пароля. Artex – инструмент для автоматизированного пентестинга: он использует AI-агентов, чтобы искать способы проникновения в системы. Доступная из сети установка не обязательно принадлежит злоумышленнику: авторизованные специалисты по безопасности тоже используют такой софт. При этом для работы Artex не требуется открывать его интерфейс всему интернету.

Последствия открытого доступа зависят от того, что хранится в конкретной установке и какие действия разрешает её интерфейс. Исследователи указывают на риск использования таких экземпляров посторонними для атак. На доступных системах могут оказаться и средства уже проводившихся операций, в том числе импланты – программы, которые закрепляются в скомпрометированной сети. Поэтому открытая установка создаёт проблему для её владельца и для организаций, против которых могли применять инструмент.

Artex связывали с атаками ещё до этой находки. В сентябрьских атаках на финансовые организации Южной Кореи один из участников оставил открытый каталог своего экземпляра Artex. По данным Censys, этот экземпляр был доступен из интернета месяцами, а находившиеся в нём данные указывали также на интерес к платёжным и игровым компаниям. Сам факт доступности каталога не говорит, кто им пользовался помимо владельца, но даёт исследователям материал для изучения операции.

В октябре Artex использовали и при атаке на ConnectWise. Злоумышленники проникали в облачные среды клиентов и крали данные; скорость действий оставляла защитникам мало времени на обнаружение и ответ. Среди способов проникновения в атаках, связанных с Artex, встречались подбор слабых или известных паролей и использование отсутствующей многофакторной аутентификации. Автоматизация ускоряет такие действия, хотя исходная слабость системы может быть вполне обычной.

После появления открытой версии создатели Artex объявили о переходе на закрытую модель распространения будущих релизов для платных клиентов. Это не убирает уже опубликованный код: его копии по-прежнему доступны на площадках для обмена кодом. Обнаруженные Censys установки тоже представляют отдельную задачу для их операторов – доступ к работающему экземпляру определяется его настройками, а не лицензией следующей версии.