D’importantes enquêtes ont révélé de nombreuses instances d’un outil de hacking développé en Chine, Artex, facilement accessible en ligne, présentant des risques pour des cyberattaques contre divers cibles. Plus de 800 déploiements de ce logiciel ont été identifiés par des chercheurs en sécurité comme étant accessibles publiquement sans protection par mot de passe, ce qui renforce les inquiétudes concernant un éventuel abus. Ces informations ont été rapportées par 24brussels.
Artex est un outil de test de pénétration autonome en open-source capable d’évaluer les systèmes informatiques pour détecter des vulnérabilités, lancé pour la première fois en juillet. Il permet aux utilisateurs de réaliser des tests sans avoir besoin d’accéder à des modèles d’IA avancés proposés par des entreprises telles qu’Anthropic ou OpenAI. Microsoft avait auparavant caractérisé Artex comme un système d’agents d’IA capable d’exécuter des cyberattaques « allant de la reconnaissance à l’exfiltration de données avec peu d’interaction humaine requise ».
La société de cybersécurité Censys, spécialisée dans le scan d’internet pour détecter des systèmes exposés, a publié des résultats confirmant la prolifération alarmante d’Artex sur le web. Dans un article de blog détaillé, elle a documenté la découverte de plus de 800 instances du logiciel qui ne nécessitaient pas d’authentification par mot de passe pour y accéder.
Silas Cutler, chercheur principal en sécurité chez Censys, a reconnu que bien que toutes les instances d’Artex ne soient pas nuisibles et que beaucoup soient utilisées pour des tests autorisés, le grand nombre de systèmes exposés soulève des questions sur leur configuration, car l’accessibilité via internet n’est pas une nécessité pour ce logiciel.
Cette découverte illustre comment des outils puissants peuvent être mal configurés, conduisant à une exposition publique et augmentant les risques d’abus par des acteurs malveillants. Ces systèmes transparents peuvent également laisser fuiter des outils d’attaque, tels que des implants conçus pour obtenir un accès persistant aux réseaux compromis.
Artex a été impliqué dans de nombreuses cyberattaques, notamment une série visant le secteur financier de Corée du Sud en septembre. CrowdStrike, une importante société de cybersécurité, a lié ces incidents à un hacker francophone utilisant une instance d’Artex, après avoir découvert un « répertoire ouvert » associé au système. Censys a indiqué que cette instance spécifique avait été accessible publiquement pendant des mois et semblait contenir une vaste quantité de données d’attaque allant au-delà des banques sud-coréennes pour inclure les secteurs des paiements et des jeux.
De plus, Artex a joué un rôle dans une violation des données de la société de support IT ConnectWise en octobre, permettant à des hackers liés à la Chine de surveiller des milliers d’organisations dont les données sont stockées sur l’infrastructure cloud de Microsoft. Microsoft a noté que cette violation avait permis aux intrus de pénétrer rapidement dans les environnements cloud des clients, laissant peu de temps aux défenseurs pour détecter et répondre.
De nombreuses cyberattaques associées à Artex ont exploité des vulnérabilités simples, telles que des mots de passe faibles ou déjà connus et l’absence d’authentification à deux facteurs.
Les preuves illustrent comment des erreurs de configuration basiques et des vulnérabilités peuvent mettre en danger à la fois les attaquants potentiels et leurs victimes ciblées.
En réponse à ces incidents, Artex a annoncé des projets de transition vers un modèle de code source fermé, limitant les nouvelles distributions à des clients payants. Néanmoins, de nombreuses copies du code d’Artex restent accessibles sur des plateformes de partage de code, ce qui pourrait faciliter des attaques continues.
