صدها نسخه از ابزارهای هک ARTEX ساخت چین به صورت آنلاین به بیرون درز کرد تا هر کسی بتواند در حملات بعدی از آن استفاده کند.

محققان بیش از 1400 نمونه ARTEX در معرض آنلاین را پیدا کردند که بسیاری از آنها به ابزارهای امنیتی توهین آمیز مرتبط هستند.

ARTEX عوامل هوش مصنوعی را با قابلیت های شناسایی ترکیب می کند و به طور فزاینده ای در حملات دنیای واقعی مورد استفاده قرار می گیرد.

برخی از اپراتورها به طور تصادفی بدافزار، سوء استفاده، اعتبار و زیرساخت داخلی را از طریق سرورهای پیکربندی نادرست افشا کردند. کارشناسان هشدار داده اند که حدود 1500 نمونه مخرب ARTEX در اینترنت پیدا شده است که در دسترس هر کسی است که می داند کجا باید جستجو کند.

محققان امنیتی Censys گفتند که آنها 1465 میزبان را شناسایی کرده اند که کنسول های ARTEX در معرض نمایش را اجرا می کنند. از این تعداد، 155 (تقریبا 10٪) حداقل یک ابزار را که معمولا در حملات سایبری استفاده می شود، از جمله Cobalt Strike، Vshell یا Adaptix C2 را اجرا می کردند. آنها همچنین 32 دایرکتوری در دسترس عموم را در میزبان های ARTEX پیدا کردند که برخی از آنها باینری های اکسپلویت، ابزارهای پس از بهره برداری و سایر فایل های حساس را در معرض دید قرار دادند.

به گفته محققان، معمولا کنسول ARTEX نیازی به دسترسی عمومی ندارد و تأکید کردند که استقرار کلی جهانی "احتمالا بالاتر" است.

ربودن ARTEX

ARTEX یک ابزار تست نفوذ قانونی است که برای اهداف مخرب ربوده شده است، به این معنی که حداقل برخی از این نمونه ها توسط عوامل تهدید راه اندازی شده اند.

داستان ARTEX شبیه به داستان بدنام Cobalt Strike است. این توسط توسعه‌دهنده‌ای به نام Autumn-27 منتشر شد که او همچنین ScopeSentry را نویسند - ابزاری که Censys آن را به‌عنوان یک پلت‌فرم کشف دارایی و اسکن آسیب‌پذیری چینی توصیف می‌کند.

محققان ARTEX را به عنوان یک "لایه عامل هوش مصنوعی در بالای آن پایه بازیابی" توصیف کردند. به عبارت دیگر - این یک نسخه مبتنی بر LLM از Scope Sentry است که دارایی های یافت شده توسط دامنه ها، زیر دامنه ها، IP ها، پورت ها و نقاط پایانی ابزار را همگام سازی می کند.

ARTEX در اواخر جولای 2026 منتشر شد و به سرعت محبوبیت پیدا کرد. در 7 اکتبر، محققان امنیتی CrowdStrike گزارش دادند که از آن در حملات مخرب استفاده می شود و یک روز بعد، توسعه دهنده از فعالیت غیرقانونی فاصله گرفت و تاکید کرد که این ابزار برای آزمایش در محدوده دارایی های مجاز ساخته شده است. آنها سپس آن را به یک ابزار منبع بسته بدون انتشار بیشتر تبدیل کردند. با این حال، علی‌رغم حذف مخزن، Censys ادعا می‌کند که نسخه‌های آرشیو شده، ترجمه‌ها و برندهای مختلف هنوز در گردش هستند.

از آن زمان، بسیاری از محققان مشاهده کردند که از آن در حملات مختلف استفاده می شود. گزارش CrowdStrike یک عامل تهدید ناشناس را توصیف می کند که از ARTEX برای هدف قرار دادن موسسات مالی کره جنوبی استفاده می کند. مهاجم، که گمان می‌رود یک بازیگر چینی با انگیزه مالی باشد (برخلاف بازیگری که توسط دولت حمایت می‌شود)، یک سرویس استعلام وام کارگزار در یک بانک و یک سیستم تلفن همراه کارمند در بانک دیگر را به خطر انداخت. در هر دو مورد، آنها با داده های حساس کنار رفتند.

آن‌ها از ARTEX با DeepSeek v4.1-flash به عنوان مدل اولیه هوش مصنوعی خود استفاده کردند، در حالی که Claude Code و Grok را نیز اجرا کردند. محققان این عملیات را تا حدی به این دلیل یافتند که مهاجمان دایرکتوری های قابل دسترسی عمومی را در جایی که درخواست ها، تاریخچه جلسه و فایل های پیکربندی ARTEX را در معرض نمایش قرار می دادند، رها کردند.

Censys بعدا گفت که دایرکتوری‌ها در اواسط آگوست، تقریبا هفت هفته قبل از انتشار یافته‌های CrowdStrike، افشا شده بودند. نام فایل ها همچنین نشان می دهد که آنها خدمات پرداخت و بازی را نیز هدف قرار داده اند.

زمانی مایکروسافت آن را به Storm-0940 مرتبط کرد، یک عامل تهدید چینی که مسئول به خطر انداختن محیط‌های مشتری ConnectWise Cloud Backup است. ظاهرا عوامل تهدید از ARTEX برای خودکارسازی اسکن، پاشش رمز عبور و سوء استفاده از برنامه OAuth استفاده کردند که در یک نقطه به حداکثر 2900 بار ورود به سیستم در دقیقه رسید. برخی از مشتریان مایکروسافت ظاهرا مشاهده کردند که دسترسی ابری ممتاز در کمتر از سه ساعت اعطا شده است.

زیرساخت های خود را در معرض دید قرار می دهند

اکنون Censys می گوید ARTEX با ابزارهای تهاجمی دیگر جفت می شود. حداقل 70 هاست در حال اجرای هر دو ARTEX و CyberStrikeAI، و دیگران در حال استقرار PentAGI، HexStrike AI و RedAmon دیده شدند. به اندازه کافی طعنه آمیز، محققان همچنین دریافتند که برخی از بازیگران به طور ناخواسته اطلاعات حساس را از طریق دایرکتوری هایی با امنیت ضعیف افشا کرده اند. یکی از نصب‌ها، کل فهرست اصلی اپراتور، از جمله فایل‌های پیکربندی SSH و تاریخچه فرمان shellac را در معرض دید قرار می‌دهد، در حالی که سایرین شامل ابزارهای حرکت جانبی ویندوز، کاشت بدافزار، اسکریپت‌های پوسته معکوس و کد بهره‌برداری بودند.

Censys همچنین تاکید کرد که همه موارد افشا شده مخرب نیستند. آنها همچنین گفتند که تقریبا 650 از میزبان های شناسایی شده متعلق به دو گروه از زیرساخت های میزبانی با پیکربندی یکسان هستند و تقریبا 815 نصب منحصر به فرد باقی مانده است.