L'ESSENTIEL EN 30 SECONDES

  • Censys a indiqué le 5 novembre que 1 465 machines exposaient une console ARTEX ; en écartant environ 650 hôtes répartis dans deux blocs d'hébergement configurés à l'identique, elle estime à près de 815 le nombre de déploiements distincts.
  • Les États-Unis (726 hôtes) et Hong Kong (387) concentrent la plupart des consoles exposées, et 155 machines faisaient aussi tourner d'autres outils suivis par Censys, comme Cobalt Strike ou Vshell.
  • Des répertoires ouverts sur des hôtes ARTEX exposaient prompts, historiques de session et kits de post-exploitation ; Censys prévient qu'une partie des instances appartient sans doute à des testeurs autorisés.

Censys, qui cartographie les appareils et services accessibles sur Internet, a publié le 5 novembre une étude sur le nombre de copies d'ARTEX visibles en ligne. ARTEX est un cadriciel de tests d'intrusion piloté par l'IA, publié sur GitHub en juillet sous licence libre. Plusieurs sociétés de sécurité l'ont depuis associé à des intrusions, et le site a déjà rendu compte du rapport de Check Point Research sur des campagnes cybercriminelles menées avec ARTEX.

Ce que Censys a trouvé

Censys a repéré l'outil grâce au titre de sa console web et à des marqueurs du cadriciel Next.js. L'entreprise a compté 1 465 machines exposant une console au 4 novembre, même si une autre partie du billet mentionne le 3 novembre. Environ 650 d'entre elles se trouvent dans deux blocs d'hébergement configurés de façon identique, signe selon Censys de modèles de provisionnement ; une fois ces hôtes écartés, il reste près de 815 déploiements d'apparence distincte. Les plus fortes concentrations se trouvent aux États-Unis (726) et à Hong Kong (387), devant la Chine continentale (177) et le Japon (51).

Les chercheurs ont aussi constaté que 155 machines, soit environ 10,6 %, hébergeaient au moins un autre outil malveillant suivi par l'entreprise, dont Cobalt Strike, Vshell et Adaptix C2. Implicator.ai, qui a relayé ces résultats, cite le chercheur de Censys Silas Cutler, pour qui les opérateurs semblent utiliser plusieurs cadriciels d'agents en parallèle.

Des fuites venues des attaquants eux-mêmes

Les éléments les plus parlants proviennent de 32 répertoires ouverts sur des hôtes ARTEX. L'un, lié à l'acteur décrit par CrowdStrike en octobre, exposait un dossier .claude, des prompts, des historiques de session et des fichiers de configuration ; Censys dit l'avoir repéré dès le 18 août, environ sept semaines avant ce rapport. D'autres contenaient des outils de déplacement latéral, des scripts d'exploitation, des implants compilés, la clé privée d'une autorité de certification servant à intercepter du trafic et le répertoire personnel d'un opérateur. Entre le 3 et le 5 novembre, 10 répertoires ont fermé et 15 nouveaux sont apparus.

Censys insiste sur les limites de son décompte. Il s'agit d'un instantané, le chiffre réel est probablement plus élevé car la console n'a pas besoin d'être exposée, et certaines machines sont sans doute exploitées par des testeurs légitimes. Les attributions d'attaques précises viennent de CrowdStrike et de Microsoft, non de Censys. Check Point, dans un décompte distinct publié le même jour, a recensé 2 557 systèmes ayant hébergé ou hébergeant des panneaux ARTEX. Le développeur a affirmé en octobre n'avoir joué aucun rôle dans les attaques et a fermé le code du projet, mais des copies archivées et des versions rebaptisées circulent toujours.