ARTEX применяли при атаках на финансовые организации и облачные сервисы

По состоянию на 4 ноября 2026 года Censys обнаружила 1465 уязвимых хостов ARTEX. Около 650 из них, по всей видимости, использовали повторяющиеся конфигурации хостинга, а примерно 815 выглядели как уникальные развёртывания. На хостах также нашли 32 открытых каталога.

Как устроен ARTEX

ARTEX опубликовали на GitHub 26 июля 2026 года. Это автономный фреймворк с открытым исходным кодом для пентестов, написанный на Go. В его состав входят веб-консоль на базе Next.js, серверная часть на PostgreSQL и система агентов, способная обращаться к конечным точкам API моделей Anthropic, OpenAI или совместимых с OpenAI.

Пользователи задают задачу, область действия, учётные записи и цель. Планировщик формирует намерения атаки, а рабочие агенты запускают инструменты, например Nmap, и возвращают результаты в событийно-управляемый цикл исследования, принятия решений и выполнения. ARTEX поддерживает графы активов и исследований, а также включает mitmproxy для записи трафика. Microsoft оценила, что фреймворк способен поддерживать активность от разведки до эксфильтрации данных при минимальном участии человека.

Задокументированные случаи использования

В конце сентября и начале октября 2026 года неидентифицированный актор атаковал финансовые организации Южной Кореи. Он получил несанкционированный доступ к сервису запросов кредитов для брокеров и мобильной системе для сотрудников, а затем похитил данные. CrowdStrike с умеренной уверенностью оценила, что актор действовал из финансовых побуждений и был носителем китайского языка.

На сервере ARTEX, который использовал актор, работал DeepSeek через API-реселлера. Сервер также был связан с сессиями Claude Code, использовавшими другие модели. Открытые каталоги на сервере раскрывали конфигурацию ARTEX, промпты и историю сессий.

Microsoft связала компрометацию цепочки поставок ConnectWise Cloud Backup с актором Storm-0940, которого связывают с государством Китая. Актор применял ARTEX для автоматизации сканирования, распыления паролей и злоупотребления OAuth-приложениями. Он предпринимал попытки входа в более чем 2250 арендаторов, а нагрузка в пиковый момент достигала 2900 попыток в минуту. У некоторых жертв привилегированный доступ к облачной инфраструктуре был получен в течение трёх часов.

Наблюдаемые хосты и признаки для расследования

Среди обнаруженных хостов ARTEX на 155 также работал другой выявленный инструмент угрозы. В их числе:

• CyberStrikeAI;
• PentAGI;
• Vshell;
• Cobalt Strike;
• Adaptix C2;
• FRP.

На 43 хостах размещалось программное обеспечение шлюзов для больших языковых моделей или реселлеров, преимущественно CLIProxyAPI и New API. Обнаруженные открытые каталоги содержали инструменты постэксплуатации, стейджеры или импланты.

Консоли ARTEX можно распознать по заголовкам и статическим ресурсам Next.js. Распространённые порты включают 8787, 8790 и 443. Censys назвала совместно размещённые открытые каталоги, инструменты туннелирования, прокси-серверы для больших языковых моделей, а также исторические баннеры mitmproxy или временных HTTP-серверов полезными точками для дальнейшего расследования.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.