Связанный с ARTEX промежуточный сервер обнаружен в Гонконге
В инфраструктуре, связанной с задокументированной кампанией ARTEX, обнаружили расположенный в Гонконге промежуточный сервер с IP-адресом 23.248.226.250. Конфигурационные файлы и скрипты связывают его с хостом консоли ARTEX по адресу 38.244.50.120. Исследователи оценивают кампанию как финансово мотивированную, однако связь некоторых восстановленных артефактов с инцидентами в Южной Корее не подтверждена. Для определения полного масштаба и проверки связей с зафиксированными инцидентами, по оценке авторов отчёта, нужна независимая проверка.
В скомпрометированных файлах нашли сведения об учётных данных и API-ключах, а также скрипты оболочки. С помощью sshpass скрипты подключались под удалённой учётной записью root, восстанавливали обратные SSH-туннели, запускали локальный ретранслятор sing-box и синхронизировали файлы оператора. Учётные данные в отчёте скрыты.
В среде использовался Claude Code с компонентами пользовательской маршрутизации, а не прямым доступом к API Anthropic. Одна обёртка перенаправляла обнаружение моделей и запросы на DeepSeek. Другая добавляла параметр reasoning_effort к запросам через Claude Code Router и xcai.pro. Настройки и зафиксированное использование навыков отражали рабочие процессы разведки, веб-тестирования, анализа логики платежей и мобильных операций. В настройках моделей оператора также были ссылки на компоненты, связанные с GLM и Grok.
Среди других обнаруженных инструментов были доступ к поиску FOFA через сторонний API и скрипты для перечисления ресурсов сервиса с ротацией прокси-серверов по адресу 154.201.79.246. Также нашли референс-серверы Java LDAP, настроенные для поддержки эксплуатации на основе JNDI и проверки выполнения команд вне канала связи. Восстановили и дополнительные файлы, связанные с доступом к криптовалютным биржам, эксплуатацией систем Linux и операциями с мобильными устройствами.
На отдельных хостах с меткой ARTEX обнаружили скрипты разведки по протоколам SMB и printer-RPC на базе Impacket. Один из них использовал захардкоженные учётные данные NTLM и учётную запись компьютера для доступа к сетевым шарам и записи файла-зонда. Для поиска инфраструктуры исследователи использовали метаданные сертификатов TLS, классификацию ВПО ARTEX и совпадения заголовков HTTP. Так они выявили хосты-кандидаты и раскрытые каталоги.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
