Investigadores de seguridad identificaron 1.465 equipos con consolas ARTEX accesibles desde internet. En algunos casos, la exposición dejó al descubierto herramientas ofensivas, archivos de explotación, credenciales y detalles de infraestructura interna.
Censys señaló que 155 de los equipos —aproximadamente el 10 %— también ejecutaban al menos una herramienta asociada habitualmente con ciberataques, como Cobalt Strike, Vshell o Adaptix C2. Los investigadores encontraron además 32 directorios de acceso público en servidores ARTEX. Algunos contenían binarios de explotación, herramientas de poscompromiso y otros archivos sensibles.
La consola de ARTEX normalmente no necesita estar disponible desde internet, indicó Censys. Por ello, la cifra detectada podría ser inferior al número total de instalaciones en funcionamiento. Los investigadores también advirtieron que no todos los equipos expuestos necesariamente se usan con fines maliciosos.
## De herramienta de pruebas a recurso para atacantes
ARTEX es una herramienta legítima de pruebas de penetración que, según los investigadores, ha sido adoptada por algunos actores maliciosos. Su trayectoria recuerda a la de otras herramientas de seguridad que terminaron utilizándose en operaciones delictivas.
La herramienta fue creada por Autumn-27, quien también desarrolló ScopeSentry, una plataforma de descubrimiento de activos y análisis de vulnerabilidades. Censys describe ARTEX como una capa de agentes de inteligencia artificial sobre esa base de reconocimiento: ayuda a organizar activos identificados, como dominios, subdominios, direcciones IP, puertos y puntos de conexión.
ARTEX apareció a finales de julio de 2026 y ganó popularidad con rapidez. En octubre, CrowdStrike informó que había observado su uso en ataques. Al día siguiente, el desarrollador se desvinculó de la actividad ilícita y afirmó que la herramienta estaba pensada para pruebas dentro de ámbitos de activos autorizados. Posteriormente, el proyecto pasó a ser de código cerrado y dejó de recibir nuevas versiones. Aunque el repositorio original fue retirado, Censys sostiene que siguen circulando copias archivadas, traducciones y versiones con otros nombres.
CrowdStrike describió una operación contra instituciones financieras de Corea del Sur. El actor, considerado probablemente motivado por razones económicas y no vinculado a una operación estatal, habría comprometido un servicio de consulta de préstamos dirigido a intermediarios en una entidad y un sistema móvil para empleados en otra. En ambos casos, obtuvo datos sensibles.
Según la investigación, los atacantes utilizaron ARTEX con DeepSeek v4.1-flash como modelo principal, además de Claude Code y Grok. Parte de la actividad salió a la luz porque dejaron directorios públicos con instrucciones para la IA, historiales de sesiones y archivos de configuración. Censys indicó que esos directorios habían estado expuestos desde mediados de agosto, unas siete semanas antes de la publicación del informe de CrowdStrike. Los nombres de algunos archivos también apuntaban a posibles objetivos en los sectores de pagos y videojuegos.
Microsoft vinculó ARTEX con Storm-0940, un actor alineado con China al que atribuyó la intrusión en entornos de clientes de ConnectWise Cloud Backup. Según la empresa, el grupo empleó la herramienta para automatizar tareas de escaneo, intentos de acceso mediante contraseñas y abuso de aplicaciones OAuth. En un momento, la actividad habría alcanzado 2.900 intentos de inicio de sesión por minuto; algunos clientes de Microsoft habrían visto cómo se concedía acceso privilegiado a la nube en menos de tres horas.
## La exposición de la infraestructura de los atacantes
Censys observó ARTEX junto con otras herramientas de uso ofensivo. Al menos 70 equipos ejecutaban también CyberStrikeAI, mientras que otros utilizaban PentAGI, HexStrike AI o RedAmon.
La mala configuración de algunos servidores expuso información que podía revelar detalles operativos. En una instalación quedó visible el directorio personal completo del operador, incluidos archivos de configuración de SSH y el historial de comandos de la shell. Otros directorios contenían herramientas para movimiento lateral en Windows, implantes de malware, scripts de shell inversa y código de explotación.
Censys también matizó el alcance de sus hallazgos: cerca de 650 de los equipos detectados pertenecían a dos grupos de infraestructura de alojamiento con configuraciones idénticas. Al descontarlos, los investigadores estimaron que había alrededor de 815 instalaciones únicas.
El caso pone de relieve dos riesgos distintos: el uso de herramientas de reconocimiento asistidas por IA en operaciones maliciosas y la exposición accidental de sistemas, datos y recursos que sus operadores pretendían mantener bajo control. Para las organizaciones, conviene limitar las consolas de administración a redes confiables, revisar periódicamente los servicios publicados y comprobar que los directorios y archivos sensibles no sean accesibles desde internet.
from Latest from TechRadar https://ift.tt/hFMTlip
via IFTTT IA
