Check Point: agentes de ARTEX robaron certificados de iOS y credenciales de juegos casi sin intervención humana

ARTEX, una plataforma china de código abierto para pruebas de penetración con IA, ya ha aparecido dos veces aquí: en el informe de CrowdStrike sobre VAPOR PANDA, grupo vinculado a China, y en la brecha sufrida por WorkOS. El informe de Check Point Research, publicado hacia el 5 de noviembre, cambia el enfoque: no espionaje estatal, sino ciberdelincuentes comunes que entregan campañas enteras a agentes de IA y se limitan a revisar su avance.

Los investigadores afirman haber localizado 2.557 sistemas que alojan o alojaron paneles de ARTEX, de los cuales 1.608 estaban activos durante el análisis. Diez, mal configurados, exponían toda su base: instrucciones, modelos y pasos de cada operación. Predominan los modelos chinos, con DeepSeek Flash a la cabeza; según Check Point, solo un modelo de Anthropic se negó a colaborar, y el operador pasó entonces a modelos chinos más permisivos.

Certificados y cuentas de juego

En el caso de mayor escala, un operador utilizó dos consolas de ARTEX del 14 al 29 de octubre contra 10 tiendas del mercado gris que venden certificados empresariales de firma de Apple, con DeepSeek v4.1 Flash y Kimi K3.1 Pro. Explotando contraseñas de administrador escritas en el código JavaScript, API sin autenticación o inyección de comandos, los agentes reunieron más de 300 certificados con sus contraseñas. Solo tres superaron todas las comprobaciones de Check Point, incluida la verificación de revocación y caducidad ante Apple, lo que los haría revendibles. Los investigadores calculan un coste de 700 a 1.500 dólares por unos 36.000 millones de tokens, casi todos servidos desde caché.

Otra campaña apuntó a los servidores de 13 sitios que comercian con cuentas pirateadas de juegos móviles. En unos cinco días obtuvo más de 190.000 juegos de credenciales de Honor of Kings; uno de los sitios guardaba 21,5 MB de ellas en texto plano en la raíz de su servidor web. Cerca del 3,3 % seguía siendo válido, unas 6.000 cuentas, por un coste estimado de 180 a 360 dólares. Un intento de vaciar criptomonedas de 292 dominios de pago no movió fondos, según el informe.

Qué muestra y qué no

Para Check Point, lo central es que los agentes trabajaron casi solos una vez fijado el objetivo, lo que permitió atacar a una velocidad y escala superiores a la pericia de los operadores. Las cifras proceden de bases de atacantes expuestas y de las verificaciones de los investigadores; los costes se basan en precios públicos de API, no en facturas. Varios objetivos eran a su vez ilícitos y no se identifican víctimas. Los consejos son escuetos: prever grandes volúmenes de ataques automatizados y reforzar los sistemas expuestos.