คอนโซล Artex เปิดสู่อินเทอร์เน็ต 1,465 โฮสต์ พบในเกาหลีใต้ 21 โฮสต์

พบโฮสต์ 1,465 แห่งที่เปิดคอนโซลจัดการของ Artex (ARTEX) ให้เข้าถึงผ่านอินเทอร์เน็ต โดย 21 แห่งอยู่ในเกาหลีใต้

เซนซิส (Censys) เผยผลสำรวจเมื่อวันที่ 5 โดยนับข้อมูลถึงวันที่ 4 รายงานการสำรวจระบุว่า ตัวเลข 1,465 หมายถึงจำนวนโฮสต์ที่เปิดคอนโซลให้เข้าถึง ไม่ใช่จำนวนการโจมตีหรือองค์กรที่ได้รับผลกระทบ

โฮสต์ราว 650 แห่งกระจุกอยู่ในเซิร์ฟเวอร์สองกลุ่มที่ตั้งค่าเหมือนกัน เซนซิสประเมินว่ามีการติดตั้งที่ดูแตกต่างกันราว 815 รายการ เมื่อตัดกลุ่มดังกล่าวออก

เมื่อแจกแจงตามประเทศและเขตแดน สหรัฐฯ มีจำนวนมากที่สุดที่ 726 โฮสต์ ตามด้วยฮ่องกง 387 แห่ง จีน 177 แห่ง ญี่ปุ่น 51 แห่ง และเกาหลีใต้ 21 แห่ง

เซนซิสยังตรวจพบเครื่องมือคุกคามอื่นบนโฮสต์ Artex 155 แห่ง ซึ่งรวมถึงกรอบการโจมตีด้วย AI อื่น ๆ เครื่องมือสำรวจระบบและทำ tunneling ตลอดจนเครื่องมือควบคุมระยะไกล เช่น Vshell, Cobalt Strike และ Adaptix C2

นอกจากนี้ ยังพบไดเรกทอรีที่บุคคลภายนอกเปิดดูได้บนโฮสต์ Artex อีก 32 แห่ง เซนซิสระบุว่าไดเรกทอรีเหล่านี้มีเครื่องมือที่ใช้หลังการเจาะระบบและโปรแกรมอันตราย

Artex เป็นเครื่องมือทดสอบเจาะระบบอัตโนมัติแบบโอเพนซอร์สที่เปิดตัวในเดือนกรกฎาคม ผู้ใช้กำหนดขอบเขตการทดสอบและเป้าหมาย จากนั้น AI agent จะตรวจสอบระบบและดำเนินงาน เครื่องมือนี้ใช้ตรวจสอบความปลอดภัยได้ แต่ก็มีรายงานการนำไปใช้โจมตีเช่นกัน

เครื่องมือแบ่งงานตามเป้าหมาย และให้ AI agent หลายตัวทำงานต่อเนื่องตั้งแต่การสำรวจไปจนถึงการลงมือ ผู้ใช้จึงสามารถใช้งานได้โดยไม่ต้องเปิดคอนโซลจัดการสู่สาธารณะ อย่างไรก็ตาม เซนซิสระบุว่าคอนโซลที่สำรวจพบเข้าถึงได้ผ่านอินเทอร์เน็ต

เซนซิสระบุว่าไม่อาจสรุปได้ว่าคอนโซลที่เปิดเผยต่อสาธารณะทั้งหมดถูกใช้งานในทางประสงค์ร้าย เพราะบางแห่งอาจใช้ทดสอบความปลอดภัยโดยได้รับอนุญาต แต่เสริมว่าไม่มีความจำเป็นต้องเปิดคอนโซลเหล่านี้สู่อินเทอร์เน็ต

ยังพบการใช้ Artex ในการโจมตีที่มุ่งเป้าสถาบันการเงินในเกาหลีใต้ด้วย คราวด์สไตรก์ (CrowdStrike) ระบุในบทวิเคราะห์ว่า ในการโจมตีที่เกิดขึ้นตั้งแต่ปลายเดือนกันยายนถึงต้นเดือนตุลาคม พบไฟล์ตั้งค่า Artex และบันทึกการทำงานของเครื่องมือ AI ในไดเรกทอรีสาธารณะบนเซิร์ฟเวอร์ของผู้โจมตี รายงานระบุว่ามีข้อมูลถูกนำออกจากระบบในการโจมตีครั้งนี้

เซนซิสระบุว่าไดเรกทอรีสาธารณะบนเซิร์ฟเวอร์ดังกล่าวเปิดให้เข้าถึงมาตั้งแต่วันที่ 18 สิงหาคม ชื่อไฟล์ที่อยู่ในไดเรกทอรียังบ่งชี้ถึงเป้าหมายที่เกี่ยวข้องกับบริการชำระเงินและเกม นอกเหนือจากธนาคารในเกาหลีใต้

ก่อนหน้านี้ TokenPost รายงานว่าพบเบาะแสการใช้ AI ของผู้โจมตีในเหตุแฮ็กบริษัทการเงิน 7 แห่ง ผลสำรวจของเซนซิสครั้งนี้ชี้ว่าเซิร์ฟเวอร์ที่ถูกระบุว่าใช้ในการโจมตีดังกล่าวเปิดให้เข้าถึงผ่านอินเทอร์เน็ตก่อนเผยแพร่บทวิเคราะห์การโจมตี

Artex ยังถูกใช้ในการเจาะระบบที่เกี่ยวข้องกับคอนเน็กต์ไวส์ (ConnectWise) ด้วย ไมโครซอฟท์ (Microsoft, $MSFT) ระบุในการวิเคราะห์เมื่อวันที่ 21 ตุลาคมว่า Storm-0940 ซึ่งเป็นกลุ่มผู้ปฏิบัติการที่เชื่อมโยงกับจีน ใช้ Artex สำรวจเป้าหมายและทำการเดารหัสผ่านโดยอัตโนมัติ ระหว่างการเจาะห่วงโซ่อุปทานของผู้ให้บริการสำรองข้อมูลบนคลาวด์ของ ConnectWise บทวิเคราะห์ของไมโครซอฟท์ระบุว่า ในการโจมตีบางครั้งใช้เวลาไม่ถึง 3 ชั่วโมงตั้งแต่เลือกเป้าหมายครั้งแรกจนได้สิทธิ์ระดับสูงบนคลาวด์

ผู้พัฒนา Artex ประกาศเมื่อวันที่ 8 ตุลาคมว่าจะหยุดพัฒนาแบบเปิดเผยต่อสาธารณะ และจะไม่เผยแพร่ซอร์สโค้ดอีกต่อไป เซนซิสระบุว่าแม้คลังโค้ดต้นฉบับจะถูกนำออกไปแล้ว แต่ยังมีสำเนาโค้ด ฉบับแปล และเวอร์ชันที่เผยแพร่ภายใต้ชื่ออื่นหมุนเวียนอยู่