Сотрудники компании Censys, которая постоянно сканирует интернет в поисках незащищенных серверов, наткнулись на тревожную находку. Они нашли более восьмисот отдельных установок софта под названием Artex, к которым мог получить доступ абсолютно любой желающий. Для входа в эти системы даже не требовался пароль, что делает их легкой добычей для злоумышленников и случайных зевак. Программа Artex представляет собой автономный инструмент для тестирования на проникновение с открытым исходным кодом. Разработчики создали софт, чтобы он автоматически искал слабые места в защите компьютерных систем. Продукт вышел в июле, и с тех пор его уже успели связать с несколькими серьезными кибератаками по всему миру. Поскольку код доступен каждому, любой человек может скачать его и запустить на собственных серверах. Это сделало софт особенно популярным среди тех, кто не имеет доступа к продвинутым моделям OpenAI или Anthropic, которые обычно используются для поиска уязвимостей в легальных целях. Корпорация Microsoft ранее охарактеризовала этот софт как систему агентов на базе искусственного интеллекта. Они способны проводить полноценные кибератаки полностью самостоятельно, проходя путь от первичной разведки до выкачивания ценных данных, причем участие человека практически не требуется. Главный специалист по безопасности Censys Сайлас Катлер сообщил в своем блоге, что далеко не каждую найденную копию запускали с преступными намерениями. Многие экземпляры действительно используют авторизованные тестеры безопасности для проверки инфраструктуры. Однако до конца не понятно, зачем нужно было выставлять сотни таких систем прямо в открытый интернет, ведь архитектура софта вообще не требует подключения к всемирной паутине для нормальной работы. Наличие таких уязвимостей доказывает простую истину. Даже самые мощные и технологичные инструменты взлома можно настроить настолько небрежно, что они станут доступны каждому встречному. Из-за этого многократно возрастает риск того, что посторонние лица найдут системы и воспользуются ими в корыстных целях. На таких общедоступных серверах нередко хранятся готовые компоненты для атак, включая скрытое вредоносное ПО, которое хакеры используют для закрепления внутри взломанной корпоративной сети.
Масштабные кибератаки с использованием Artex
За последние месяцы эксперты по безопасности неоднократно связывали использование Artex с масштабными хакерскими кампаниями. Осенью этого года атакам подверглся финансовый сектор Южной Кореи. Крупнейшая охранная компания CrowdStrike возложила ответственность на некоего хакера, говорящего по-китайски. Злоумышленник задействовал одну из копий Artex и допустил классическую ошибку — оставил открытой директорию, через которую управлялась система. Специалисты Censys проверили этот случай и выяснили, что конкретно та уязвимая установка светилась в сети на протяжении многих месяцев. Внутри нее обнаружились следы и других атак, география которых простирается далеко за пределы южнокорейских банков. В поле зрения попали компании из индустрии онлайн-игр и платежные сервисы. Кроме того, инструмент отметился в крупном инциденте против гиганта IT-поддержки ConnectWise, который произошел в октябре. Тогда хакеры, которых связывают с Китаем, смогли проследить за тысячами организаций, чьи рабочие файлы и данные хранятся на облачных серверах Microsoft. Представители софтверного гиганта заявили, что злоумышленники применяли Artex для стремительного проникновения в облака клиентов. Они крали информацию с такой скоростью, что у защитников практически не оставалось времени на обнаружение угрозы и своевременный ответ. Анализ инцидентов показывает общую тенденцию. Во многих случаях взлом удавался не из-за каких-то сверхъестественных уязвимостей нулевого дня, а по банальным причинам. Хакеры использовали слабые, легко угадываемые пароли и эксплуатировали отсутствие многофакторной аутентификации в защите жертв. Получается ситуация, когда промахи в настройках подставляют под удар обе стороны — и тех, кого атакуют, и самих взломщиков, оставляющих следы.
Дальнейшая судьба опасного программного обеспечения
Разработчики программы уже отреагировали на скандал и объявили о смене стратегии распространения. Проект решили сделать закрытым. Дальнейшие обновления и новые версии софта будут доступны только проверенным платным клиентам. Однако это не решает проблему полностью. В сети на специализированных сайтах для обмена кодом до сих пор остаются десятки старых копий Artex, которые злоумышленники продолжают использовать в текущих хакерских кампаниях. Эксперты продолжают следить за ситуацией, призывая компании тщательнее проверять свои сетевые настройки и закрывать публичный доступ к внутренним компонентам инфраструктуры.
