Investigadores de seguridad han descubierto cientos de copias de una herramienta de hacking con IA fabricada en China expuestas públicamente en internet para que cualquiera pueda acceder a ellas, lo que potencialmente permite que personas ajenas lancen ciberataques contra objetivos desprevenidos.
El software de hacking, llamado Artex, es una herramienta autónoma de pruebas de penetración de código abierto, es decir, un software que sondea automáticamente los sistemas informáticos en busca de debilidades, y ha sido vinculado a varios ciberataques desde su lanzamiento público en julio. Como software de código abierto, es gratuito para que cualquiera lo descargue y lo ejecute en sus propios servidores, lo que lo convierte en una herramienta popular para quienes no pueden acceder a los modelos de IA de ciberseguridad más avanzados para descubrir vulnerabilidades de seguridad. Microsoft ha descrito previamente Artex como un sistema de agentes de IA que puede llevar a cabo ciberataques "desde el reconocimiento hasta la exfiltración de datos con poca interacción humana necesaria".
En una entrada de blog, la empresa de ciberseguridad Censys, que escanea internet en busca de sistemas expuestos o vulnerables, dijo que identificó más de 800 despliegues distintos de Artex que eran accesibles desde la web sin necesidad de una contraseña para iniciar sesión.
Silas Cutler, investigador principal de seguridad de Censys que escribió la entrada de blog, dijo que no todas las instancias de Artex se operan de manera maliciosa y que muchas se utilizan para pruebas autorizadas. Pero no está claro por qué cientos de estos sistemas Artex están expuestos en la web, ya que el software no requiere que sean accesibles desde internet.
Los hallazgos subrayan cómo incluso herramientas de hacking potentes pueden configurarse erróneamente para ser accesibles públicamente por cualquier persona, aumentando la probabilidad de que alguien las encuentre y las use indebidamente. Los sistemas accesibles públicamente también exponen herramientas de ataque, como implants (software malicioso oculto) utilizados para comprometer y mantener acceso persistente a la red de una víctima.
Las empresas de seguridad han vinculado el uso de Artex a varios ciberataques de gran escala, incluyendo contra la industria financiera coreana en septiembre. El gigante de la ciberseguridad CrowdStrike atribuyó los ataques a un hacker de habla china que utilizó una instancia de Artex en los ataques, en parte porque el hacker había dejado un "directorio abierto" que alojaba el sistema. Censys dijo que sus datos mostraban que la instancia de Artex en cuestión había estado expuesta públicamente durante meses, y parecía contener más datos de ataque que se extendían "más allá de los bancos surcoreanos", incluyendo empresas de pagos y de juegos.
Artex también fue utilizada en un ataque contra el gigante de soporte de TI ConnectWise a principios de octubre, que permitió a hackers vinculados a China espiar a miles de organizaciones cuyos datos y archivos están alojados en la nube de Microsoft. Microsoft, que tiene visibilidad del ataque, dijo en una entrada de blog que los hackers usaron Artex para infiltrarse en los entornos en la nube de los clientes y robar sus datos a una velocidad tal que los defensores tenían "poco tiempo para detectar y responder".
Muchos de los ataques vinculados a Artex involucraban la explotación de vulnerabilidades simples, como adivinar contraseñas débiles o conocidas, y la falta de autenticación multifactor.
Los hallazgos demuestran que vulnerabilidades simples, incluidas las configuraciones erróneas, pueden exponer tanto al atacante como a sus objetivos.
Artex ha anunciado desde entonces que pasaría a ser de código cerrado, limitando efectivamente futuros lanzamientos a clientes de pago. Todavía hay docenas de copias del código de Artex disponibles en sitios para compartir código que pueden seguir utilizándose en ataques activos.