Centenas de ferramentas de invasão da Artex AI encontradas publicamente expostas na web

Pesquisadores de segurança descobriram centenas de cópias de uma ferramenta de hackers de IA de fabricação chinesa expostas publicamente na internet para qualquer pessoa acessar, permitindo potencialmente que pessoas de fora lancem ataques cibernéticos contra alvos desprevenidos.

O software de hacking, chamado Artex, é uma ferramenta de teste de penetração autônoma de código aberto, o que significa um software que sonda automaticamente sistemas de computador em busca de vulnerabilidades, e foi vinculado a vários ataques cibernéticos desde seu lançamento público em julho. Como software de código aberto, é gratuito para qualquer pessoa baixar e executar em seus próprios servidores, tornando-o uma ferramenta popular para aqueles que não conseguem acessar os modelos de IA de cibersegurança mais avançados da Anthropic ou da OpenAI para descobrir vulnerabilidades de segurança. A Microsoft descreveu anteriormente o Artex como um sistema de agentes de IA capaz de conduzir ataques cibernéticos “desde o reconhecimento até a exfiltração de dados com pouca interação humana necessária.”

Em uma postagem de blog, a empresa de cibersegurança Censys, que escaneia a internet em busca de sistemas expostos ou vulneráveis, afirmou ter identificado mais de 800 implantações distintas do Artex que estavam acessíveis na web sem a necessidade de uma senha para login.

Silas Cutler, pesquisador principal de segurança da Censys que escreveu a postagem do blog, disse que nem todas as instâncias do Artex são operadas de forma maliciosa e muitas são usadas por testadores autorizados. Mas não está claro por que centenas desses sistemas Artex estão expostos à web, já que o software não exige que eles sejam acessíveis a partir da internet. 

As descobertas ressaltam como até mesmo ferramentas de hacking poderosas podem ser configuradas incorretamente para ficarem publicamente acessíveis a qualquer pessoa, aumentando a chance de alguém encontrá-las e fazer mau uso delas. Os sistemas publicamente acessíveis também expõem ferramentas de ataque, como implantes (software malicioso oculto) usados para comprometer e manter acesso persistente à rede de uma vítima.

Empresas de segurança associaram o uso do Artex a vários ataques cibernéticos em grande escala, incluindo contra o setor financeiro coreano em setembro. A gigante da cibersegurança CrowdStrike atribuiu os ataques a um hacker de língua chinesa que usou uma instância do Artex nos ataques, em parte porque o hacker havia deixado um “diretório aberto” hospedando o sistema. A Censys afirmou que seus dados mostravam que a instância do Artex em questão estava exposta publicamente há meses e parecia conter mais dados de ataques que se estendiam “muito além dos bancos sul-coreanos”, incluindo empresas de pagamento e de jogos.

O Artex também foi usado em um ataque à gigante de suporte de TI ConnectWise no início de outubro, o que permitiu que hackers ligados à China espionassem milhares de organizações cujos dados e arquivos estão hospedados na nuvem da Microsoft. A Microsoft, que tem visibilidade sobre o ataque, afirmou em uma postagem de blog que os hackers usaram o Artex para invadir os ambientes em nuvem dos clientes e roubar seus dados a uma velocidade tal que os defensores tiveram “pouco tempo para detectar e responder.”

Muitos dos ataques vinculados ao Artex envolveram a exploração de vulnerabilidades simples, como a adivinhação de senhas fracas ou conhecidas, e a falta de autenticação multifator. 

As descobertas mostram que vulnerabilidades simples, incluindo configurações incorretas, podem expor tanto o invasor quanto seus alvos.

Desde então, o Artex anunciou que se tornará de código fechado, limitando efetivamente futuros lançamentos para clientes pagantes. Ainda existem dezenas de cópias do código do Artex disponíveis em sites de compartilhamento de código que ainda podem ser usadas em ataques ativos.