LO ESENCIAL EN 30 SEGUNDOS

  • Censys informó el 5 de noviembre de que 1.465 equipos exponían una consola de ARTEX; al descontar unos 650 alojados en dos bloques de hosting con configuración idéntica, calcula alrededor de 815 despliegues distintos.
  • Estados Unidos (726 equipos) y Hong Kong (387) concentraron la mayoría de las consolas expuestas, y 155 equipos ejecutaban además otras herramientas que Censys rastrea, como Cobalt Strike o Vshell.
  • Directorios abiertos en servidores de ARTEX dejaban ver prompts, historiales de sesión y kits de post-explotación; Censys advierte de que algunas instancias probablemente pertenecen a auditores autorizados.

Censys, que cartografía los dispositivos y servicios accesibles desde internet, publicó el 5 de noviembre un análisis sobre cuántas copias de ARTEX están abiertas en la red. ARTEX es un entorno de pruebas de penetración basado en IA que se publicó en GitHub en julio con licencia de código abierto. Desde entonces, varias empresas de seguridad lo han vinculado a intrusiones, y este sitio ya informó del análisis de Check Point Research sobre campañas de ciberdelincuencia realizadas con ARTEX.

Qué encontró Censys

Censys identificó la herramienta por el título de su consola web y por rastros del framework Next.js. Contabilizó 1.465 equipos con la consola expuesta a fecha de 4 de noviembre, aunque otro apartado de la publicación indica el 3 de noviembre. Unos 650 se encuentran en dos bloques de alojamiento configurados de forma idéntica, lo que Censys atribuye a plantillas de aprovisionamiento; sin ellos quedan alrededor de 815 despliegues que parecen distintos. Las mayores cifras correspondieron a Estados Unidos (726) y Hong Kong (387), seguidos de China continental (177) y Japón (51).

Los investigadores comprobaron además que 155 equipos, cerca del 10,6 %, ejecutaban al menos otra herramienta maliciosa que la empresa rastrea, como Cobalt Strike, Vshell o Adaptix C2. Implicator.ai, que se hizo eco del hallazgo, cita al investigador de Censys Silas Cutler, según el cual los operadores parecen usar varios entornos de agentes a la vez.

Filtraciones de los propios atacantes

Lo más revelador procede de 32 directorios abiertos en servidores de ARTEX. Uno, relacionado con el actor descrito por CrowdStrike en octubre, mostraba una carpeta .claude, prompts, historiales de sesión y archivos de configuración; Censys afirma que lo vio por primera vez el 18 de agosto, unas siete semanas antes de ese informe. Otros contenían kits de movimiento lateral, scripts de explotación, implantes compilados, la clave privada de una autoridad de certificación usada para interceptar tráfico y el directorio personal de un operador. Entre el 3 y el 5 de noviembre se cerraron 10 directorios y aparecieron 15 nuevos.

Censys subraya los límites de su recuento. Es una instantánea, la cifra real probablemente sea mayor porque la consola no necesita estar expuesta, y algunos equipos seguramente los gestionan auditores legítimos. Las atribuciones de ataques concretos proceden de CrowdStrike y Microsoft, no de Censys. Check Point, en un recuento independiente publicado el mismo día, halló 2.557 sistemas que alojan o alojaron paneles de ARTEX. El desarrollador aseguró en octubre que no tuvo nada que ver con los ataques y cerró el código del proyecto, pero siguen circulando copias archivadas y versiones con otro nombre.