Pesquisadores da empresa de segurança Censys identificaram mais de 800 instalações da ferramenta Artex acessíveis pela internet sem exigência de senha. O programa é usado para testes de invasão e, quando exposto, pode ficar disponível a pessoas não autorizadas. A Censys não esclareceu por que tantas instalações estavam acessíveis: o software não precisa estar conectado à internet para funcionar.
Lançada publicamente em julho, Artex é uma ferramenta chinesa de código aberto que examina sistemas automaticamente em busca de falhas. A Censys afirma que nem todas as instalações são usadas para fins maliciosos e que muitas servem a testes autorizados. Ainda assim, a exposição pode permitir o uso indevido da ferramenta e também revelar recursos de ataque, como implantes — programas ocultos usados para comprometer uma rede e manter acesso a ela.
A descoberta ocorre após a associação de Artex a vários ataques cibernéticos. Em setembro, a CrowdStrike atribuiu ataques contra o setor financeiro da Coreia do Sul a um hacker de língua chinesa que usou uma instalação da ferramenta. Segundo a Censys, essa instalação permaneceu exposta por meses e parecia conter dados de ataques que iam além de bancos sul-coreanos, abrangendo também empresas de pagamentos e jogos.
Em outubro, hackers ligados à China usaram Artex em um ataque à ConnectWise, empresa de suporte de TI. A ação permitiu que espionassem milhares de organizações com dados e arquivos hospedados na nuvem da Microsoft. A Microsoft afirmou que os invasores entraram nos ambientes de nuvem dos clientes e roubaram dados tão rapidamente que os defensores tiveram pouco tempo para detectar e responder à atividade.
Em vários dos ataques associados à ferramenta, os invasores exploraram falhas simples, como senhas fracas ou já conhecidas e a falta de autenticação multifator. A exposição de instalações mal configuradas pode, portanto, criar riscos tanto para os sistemas que elas permitem atacar quanto para os próprios recursos de ataque que ficam acessíveis.
Artex anunciou que passaria a ser de código fechado, limitando efetivamente os lançamentos futuros a clientes pagantes. A mudança não elimina as cópias já disponíveis: dezenas de versões do código continuam em sites de compartilhamento e podem ser usadas em ataques ativos.
