Операторы ARTEX использовали ИИ-агентов для атак на сервисы

Исследователи изучили 10 открытых баз данных ARTEX и обнаружили 2 557 систем, на которых размещались или ранее размещались панели платформы. На момент анализа 1 608 из них оставались активными и публично доступными. Наблюдаемая активность в основном носила оппортунистический характер и была связана с финансово мотивированным киберкриминалом.

Как операторы использовали платформу

ARTEX координирует работу агентов, которые обнаруживают и эксплуатируют уязвимости. Операторы, как правило, задавали начальную цель, а затем оставляли агентов работать автономно, лишь проверяя ход выполнения задач или меняя цели с минимальным дальнейшим вмешательством.

Чаще всего операторы настраивали модели DeepSeek Flash. Один из них переключился с Opus от Anthropic после столкновения с механизмами защиты. Операторы также использовали резидентные прокси, чтобы обходить ограничения по IP-адресам и скрывать трафик.

Цели атак и выявленные уязвимости

В одной кампании агенты атаковали 10 серых рынков услуг по подписи iOS-приложений, стремясь похитить сертификаты .p12 и пароли в открытом виде. Среди описанных путей атаки были:

• захардкоженные учётные данные администратора в JavaScript;
• неаутентифицированные API;
• IDOR;
• слабые учётные данные;
• внедрение команд;
• внедрение в шаблоны на стороне сервера.

Один из агентов также повысил привилегии с учётной записи Linux с низким уровнем доступа до root, воспользовавшись чрезмерно разрешительным доступом к каталогам.

Другой оператор направил агентов на криптографические сервисы. Они атаковали 292 домена, чтобы выводить USDT и менять конфигурацию платежей. В результате будущие депозиты могли поступать на адрес, контролируемый злоумышленником.

Отдельное расследование выявило неавторизованный API, через который раскрывались учётные данные AWS S3. Они обеспечивали доступ на запись к бакету с приложениями для iOS и публичными посадочными страницами. Агенты обнаружили возможность подменять загрузки приложений или изменять страницы, что создавало возможность для атаки на цепочку поставок или фишинга.

Ещё одна кампания была направлена на 13 китайских площадок по торговле игровыми аккаунтами с целью сбора учётных данных. Агенты выявили поверхности атаки на неавторизованные компоненты бэкенда, а также учётные данные администратора, встроенные во фронтенд-код JavaScript и HTML.

Во всех кампаниях успешный доступ мог привести к краже учётных данных, криптовалюты или сертификатов подписи, а также к модификации сервисов и программного обеспечения, предоставляемых пользователям.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.