Censys, ett säkerhetsföretag som skannar internet, berättade om fyndet i ett blogginlägg som TechCrunch och GBHackers refererade den 6 november. Enligt TechCrunch hittade Censys över 800 separata ARTEX-installationer som gick att nå från nätet utan lösenord. GBHackers preciserar att den öppna administrationskonsolen syntes på 1 465 servrar den 4 november. Omkring 650 av dem låg i två nätverk med samma standardinställningar, så omkring 815 installationer såg ut att vara separata.

ARTEX är ett penetrationstestverktyg med öppen källkod, alltså ett program som automatiskt letar efter svagheter i it-system. Det släpptes i juli. Användaren anger ett mål och ett tillåtet målområde. En planeringsagent omvandlar målet till attackavsikter, och arbetsagenter kör verktygen.

Öppna servrar avslöjar också angriparens verktyg

Silas Cutler, ledande säkerhetsforskare på Censys, betonade att inte varje installation används i ont uppsåt: många används av auktoriserade testare. Programvaran behöver inte vara åtkomlig från internet, så det är oklart varför installationerna är öppna. De synliga installationerna är därför sannolikt bara en del av samtliga, skriver GBHackers.

Enligt TechCrunch skulle utomstående kunna använda de öppna installationerna för attacker. I öppna kataloger på 32 servrar fanns också inloggningsuppgifter och implantat, alltså dold skadlig kod som angriparen använder för att behålla åtkomsten till offrets nätverk, uppger GBHackers.

CrowdStrike kopplade en ARTEX-server till attacker mot sydkoreanska finansbolag. Serverns kataloger var öppna från och med den 18 augusti, sju veckor före CrowdStrikes publicering, uppger Censys.

Från läckta GitHub-uppgifter till Key Vault på fem minuter

Microsoft skrev i en rapport den 5 november att ARTEX-agenter sedan augusti har sökt efter inloggningsuppgifter på GitHub. Det uppger Cybersecurity News och GBHackers. I sökningarna kombinerades målföretagens namn med ord som rör hemligheter, molntjänster och AI-tjänster. Bytet var inloggningsuppgifter för applikationer och API-nycklar till inferenstjänster för AI.

I ett fall gick agenten på fem minuter från en sökning på GitHub till att föra ut data ur Azure Key Vault, Microsofts tjänst för att lagra hemligheter. Siffran beskriver ett enda dokumenterat fall, inte hur lång tid varje attack tar.

Från den 28 oktober loggade angriparna in i Microsoft Entra ID-miljöer med applikationernas inloggningsuppgifter. En del av uppgifterna hörde till leverantörers applikationer som används av många kundorganisationer. Risken omfattade alltså även kunderna. När en begäran misslyckades på grund av fel API-version bytte agenten version och lyckades omkring 28 sekunder senare.

Microsoft har tidigare uppgett att den Kinakopplade gruppen Storm-0940 använde ARTEX vid intrånget i ConnectWises tjänst för molnbackup, skriver GBHackers. Den bedömningen av vem som låg bakom bör inte automatiskt kopplas till missbruket av inloggningsuppgifterna, påpekar GBHackers.

Enligt Microsoft bör inloggningsuppgifter som blivit offentliga betraktas som komprometterade, även om koden har tagits bort. De ska återkallas eller bytas, liksom hemligheterna i de Key Vault-valv som applikationen har kunnat läsa. Åtkomsttoken som redan har utfärdats gäller tills de löper ut, även om applikationens identitet inaktiveras. På längre sikt rekommenderar Microsoft hanterade identiteter samt GitHubs hemlighetsskanning och funktionen som hindrar att hemligheter skickas till kodförrådet (push protection).

ARTEX har meddelat att det går över till sluten källkod, så att bara betalande kunder får nya versioner, uppger TechCrunch. Ändå finns tiotals kopior av koden på tjänster för koddelning.