Internetiä skannaava tietoturvayhtiö Censys kertoi löydöstään blogikirjoituksessa, jota TechCrunch ja GBHackers referoivat 6. marraskuuta. TechCrunchin mukaan Censys löysi yli 800 erillistä ARTEX-asennusta, joihin pääsi verkosta ilman salasanaa. GBHackers tarkentaa, että avoin hallintakonsoli näkyi 4. marraskuuta 1 465 palvelimella. Noin 650 niistä oli kahdessa verkossa samoilla vakioasetuksilla, joten erillisiltä näyttäviä asennuksia oli noin 815.

ARTEX on avoimen lähdekoodin tunkeutumistestaustyökalu eli ohjelma, joka etsii tietojärjestelmistä heikkouksia automaattisesti. Se julkaistiin heinäkuussa. Käyttäjä antaa tavoitteen ja sallitun kohdealueen. Suunnitteluagentti muuttaa tavoitteen hyökkäysaikeiksi, ja työagentit ajavat työkaluja.

Avoimet palvelimet paljastavat myös hyökkääjän työkalut

Censysin johtava tietoturvatutkija Silas Cutler korosti, ettei jokaista asennusta käytetä pahantahtoisesti: monia käyttävät luvalliset testaajat. Ohjelmistoon ei tarvitse päästä internetistä, joten syy avoimuuteen on epäselvä. Näkyvät asennukset ovat GBHackersin mukaan siksi luultavasti vain osa kaikista.

TechCrunchin mukaan ulkopuoliset voisivat käyttää avoimia asennuksia hyökkäyksiin. GBHackersin mukaan 32 palvelimen avoimista hakemistoista löytyi myös tunnuksia ja implantteja eli piilotettuja haittaohjelmia, joilla hyökkääjä pitää yllä pääsyä uhrin verkkoon.

CrowdStrike yhdisti yhden ARTEX-palvelimen iskuihin eteläkorealaisiin rahoitusyhtiöihin. Censysin mukaan palvelimen hakemistot olivat avoinna 18. elokuuta alkaen, seitsemän viikkoa ennen CrowdStriken julkaisua.

Vuotaneista GitHub-tunnuksista Key Vaultiin viidessä minuutissa

Cybersecurity Newsin ja GBHackersin mukaan Microsoft kertoi 5. marraskuuta raportissaan, että ARTEXin agentit ovat elokuusta alkaen etsineet GitHubista tunnuksia. Hauissa kohdeyritysten nimiin yhdistettiin salaisuuksiin, pilvipalveluihin ja tekoälypalveluihin liittyviä sanoja. Saaliina oli sovellusten tunnuksia ja tekoälyn inferenssipalvelujen API-avaimia.

Yhdessä tapauksessa agentti eteni viidessä minuutissa GitHub-hausta tietojen vientiin Azure Key Vaultista, Microsoftin salaisuuksien säilytyspalvelusta. Luku kuvaa yhtä dokumentoitua tapausta, ei jokaisen hyökkäyksen kestoa.

Lokakuun 28. päivästä alkaen hyökkääjät kirjautuivat sovellusten tunnuksilla Microsoft Entra ID -ympäristöihin. Osa tunnuksista kuului toimittajien sovelluksiin, joita käyttää moni asiakasorganisaatio. Riski ulottui siis myös asiakkaisiin. Kun pyyntö epäonnistui väärän API-version vuoksi, agentti vaihtoi version ja onnistui noin 28 sekunnin päästä.

GBHackersin mukaan Microsoft on aiemmin kertonut Kiinaan kytkeytyvän Storm-0940-ryhmän käyttäneen ARTEXia ConnectWisen pilvivarmuuskopiopalvelun murrossa. GBHackersin mukaan tätä tekijäarviota ei pidä automaattisesti liittää tunnusten väärinkäyttöön.

Microsoft neuvoo pitämään julkiseksi päätyneitä tunnuksia vaarantuneina, vaikka koodi olisi poistettu. Ne on mitätöitävä tai vaihdettava, samoin sovelluksen luettavissa olleiden Key Vaultien salaisuudet. Jo myönnetyt pääsytunnisteet pysyvät voimassa vanhenemiseensa asti, vaikka sovelluksen identiteetti poistettaisiin käytöstä. Pidemmällä aikavälillä Microsoft suosittaa hallittuja identiteettejä sekä GitHubin salaisuusskannausta ja toimintoa, joka estää salaisuuksien lähettämisen repositorioon (push protection).

TechCrunchin mukaan ARTEX on ilmoittanut siirtyvänsä suljettuun lähdekoodiin, jolloin uudet versiot saavat vain maksavat asiakkaat. Koodin kopioita on silti kymmeniä koodinjakopalveluissa.