In questo articolo Indice dei contenuti 3 sezioni
Più di 800 installazioni di Artex, il software cinese che si affida all’intelligenza artificiale per scovare le falle nei sistemi informatici, sono raggiungibili da Internet e in molti casi non chiedono nemmeno una password per entrare. Uno strumento pensato per i controlli di sicurezza che negli ultimi mesi è stato impiegato anche per colpire banche e aziende.
A mettere in fila i numeri sono stati i ricercatori di Censys, società che si occupa proprio di analizzare i sistemi esposti in rete. Gli host con una console Artex accessibile da chiunque sono 1.465. Se si escludono circa 650 installazioni con configurazioni praticamente identiche, restano oltre 800 distribuzioni che sembrano distinte tra loro, e una buona parte di queste si lascia usare senza alcuna autenticazione.
Come funziona Artex e perché quelle console aperte preoccupano
Il progetto è nato in Cina ed è stato pubblicato lo scorso luglio come software open source. Il suo funzionamento si basa su diversi agenti AI che automatizzano le verifiche di sicurezza informatica in tutte le loro fasi, dalla ricerca delle vulnerabilità fino al loro possibile sfruttamento concreto. Secondo la descrizione fornita da Microsoft, questi agenti sono in grado di gestire praticamente ogni passaggio, lasciando a chi li manovra soltanto un compito di supervisione.
Va detto che non tutte le copie di Artex in circolazione servono a fini illeciti. Il programma viene adoperato anche da professionisti della sicurezza che conducono test regolarmente autorizzati. Il punto critico però è un altro. Molti server erano raggiungibili senza effettuare alcun login, una scelta difficile da spiegare visto che per utilizzare lo strumento non c’è nessun bisogno di rendere pubblica la sua console di gestione.
Cobalt Strike, Vshell e gli attacchi contro le banche sudcoreane
Scavando più a fondo l’analisi ha portato alla luce 155 server che ospitavano anche altri strumenti tipicamente legati ad attività offensive, tra cui Cobalt Strike e Vshell. In 32 casi erano presenti perfino directory pubbliche contenenti software malevoli e componenti utili a compromettere ulteriori sistemi.
Del resto il nome di Artex compare già in diverse campagne di attacchi informatici. Lo scorso settembre il software è stato utilizzato contro alcune istituzioni finanziarie della Corea del Sud, in un’operazione che CrowdStrike ha attribuito a un hacker cinese. Proprio un errore di configurazione aveva lasciato scoperta una parte della sua infrastruttura e questo ha permesso ai ricercatori di risalire a informazioni su altri potenziali bersagli, tra cui aziende attive nel settore dei pagamenti e in quello dei videogiochi.
Il caso ConnectWise e la svolta verso una versione proprietaria
Lo scorso ottobre è stata Microsoft a documentare l’impiego di Artex da parte del gruppo Storm 0940, legato alla Cina, durante un attacco che ha coinvolto ConnectWise. Gli aggressori avrebbero sfruttato il programma per automatizzare i tentativi di accesso agli ambienti cloud dei clienti, arrivando a eseguire migliaia di operazioni al minuto. In alcune circostanze sono riusciti a ottenere privilegi elevati nel giro di poche ore.
Nel frattempo lo sviluppatore ha fatto sapere che Artex passerà a una distribuzione proprietaria e che il codice sorgente non verrà più pubblicato. In rete però continuano a girare numerose copie delle versioni precedenti, ancora pienamente utilizzabili per condurre attacchi.
Fonte: TecnoAndroid