יותר מ-800 עותקים של כלי התקיפה Artex נמצאו חשופים לאינטרנט, ללא סיסמה
חברת אבטחת המידע Censys איתרה יותר מ-800 התקנות של Artex, כלי בדיקות חדירות אוטונומי מתוצרת סין, שאפשר לגשת אליהן מהרשת בלי סיסמה. הכלי כבר נקשר למתקפות על המגזר הפיננסי בקוריאה ועל ConnectWise, והחשיפה עלולה לאפשר לגורמים זרים להשתמש בו נגד יעדים תמימים.
חוקרי אבטחה גילו מאות עותקים של Artex, כלי פריצה מבוסס AI מתוצרת סין, חשופים לאינטרנט כך שכל אחד יכול לגשת אליהם. לפי הדיווח ב-TechCrunch, חברת Censys, שסורקת את הרשת בחיפוש אחר מערכות חשופות או פגיעות, זיהתה יותר מ-800 התקנות נפרדות של הכלי שאפשר להיכנס אליהן ללא סיסמה. המשמעות היא שגורמים זרים עלולים להשתמש בהן כדי לתקוף יעדים שלא חושדים בדבר.
מה זה Artex
Artex הוא כלי קוד פתוח לבדיקות חדירות אוטונומיות: תוכנה שבוחנת מערכות מחשב באופן אוטומטי ומחפשת בהן חולשות. בדיקות כאלה הן כלי עבודה לגיטימי של צוותי אבטחה, אבל אותה יכולת משרתת גם תוקפים. מאז שיצא לציבור ביולי נקשר הכלי לכמה מתקפות סייבר.
מכיוון שהוא חינמי וכל אחד יכול להריץ אותו על שרתים משלו, Artex הפך לפופולרי בקרב מי שאין להם גישה למודלי הסייבר המתקדמים של אנתרופיק ושל OpenAI. מיקרוסופט תיארה אותו בעבר כמערכת של סוכני AI שיכולה לנהל מתקפות "מהסיור המקדים ועד להוצאת הנתונים, עם מעט מעורבות אנושית".
לא כל מי שחשוף הוא תוקף
סילאס קטלר, חוקר אבטחה בכיר ב-Censys שכתב את הפוסט בבלוג החברה, ציין שלא כל עותק של Artex מופעל בזדון, ושרבים מהם משמשים בודקים מורשים. עם זאת, לא ברור מדוע מאות מערכות כאלה פתוחות לרשת, שכן התוכנה כלל לא דורשת זאת.
המערכות החשופות מגלות גם כלי תקיפה, ובהם שתלים (implants), תוכנות זדוניות נסתרות שמשמשות לחדירה לרשת של קורבן ולשמירה על גישה מתמשכת אליה.
הקשר למתקפות גדולות
חברות אבטחה קשרו את Artex לכמה מתקפות רחבות היקף, ובהן מתקפות על המגזר הפיננסי בקוריאה בספטמבר. CrowdStrike ייחסה אותן להאקר דובר סינית, בין היתר משום שהשאיר "ספרייה פתוחה" (open directory) שאירחה את המערכת. לפי Censys, העותק הזה היה חשוף במשך חודשים, ונראה שהכיל נתוני תקיפה נוספים שמגיעים "הרבה מעבר לבנקים בדרום קוריאה", כולל חברות תשלומים וגיימינג.
Artex שימש גם במתקפה על ספקית שירותי התמיכה ConnectWise מוקדם יותר באוקטובר, שאפשרה להאקרים הקשורים לסין לרגל אחרי אלפי ארגונים שהנתונים והקבצים שלהם מאוחסנים בענן של מיקרוסופט. לדברי מיקרוסופט, ההאקרים השתמשו בכלי כדי לחדור לסביבות הענן של לקוחות ולגנוב נתונים במהירות כזו, שלמגינים נותר "מעט זמן לזהות ולהגיב".
למה זה חשוב
הממצאים מלמדים שגם כלי תקיפה חזקים נופלים קורבן לטעויות הגדרה בסיסיות, ושטעויות כאלה עלולות לחשוף גם את התוקף וגם את קורבנותיו. רבות מהמתקפות שנקשרו ל-Artex לא נשענו על תחכום מיוחד, אלא על ניחוש סיסמאות חלשות או ידועות ועל היעדר אימות רב-שלבי. המשמעות לארגונים היא ככל הנראה שאוטומציה מבוססת AI מאיצה את התוקפים, אבל ההגנה הבסיסית עדיין רלוונטית.
בינתיים הודיעו ב-Artex שהכלי יעבור לקוד סגור, כך שגרסאות עתידיות יוגבלו בפועל ללקוחות משלמים. אלא שעשרות עותקים של הקוד עדיין זמינים באתרי שיתוף קוד וניתנים לשימוש במתקפות פעילות, ולכן ההערכה היא שהצעד הזה לא יעצור את השימוש בכלי בטווח הקרוב.