Alisina NawabiARTEX verschijnt volgens Censys op 1.465 hosts met een publiek bereikbare console; een scan van begin november komt na correctie voor gedeelde hosting op circa 815 installaties.
Voor een Nederlands securityteam dat ARTEX zelf test of via een MSP laat beheren, horen de beheerconsole en tijdelijke bestandsmappen bij de controle van de eigen internetblootstelling. Censys geeft geen telling voor Nederland; publieke bereikbaarheid bewijst op zichzelf geen misbruik.
De hosttelling bevat twee grote clusters
Censys herkent de consoles aan een webpaginatitel die met ARTEX begint en aan bestanden van het Next.js-framework. Poort 8787 is de standaardpoort, maar de scan vond consoles ook op poort 8790, 443 en 80. De telling gaat over hosts die de console tonen, niet over evenveel organisaties of operators.
Twee hostingclusters verklaren een groot deel van de telling. Censys vond 493 hosts bij PEG Tech met terugkerende poortindelingen en 157 hosts bij Yancy Limited met hetzelfde patroon van een controlepaneel en mailserver. Samen zijn dat ongeveer 650 hosts, bijna 44 procent van het totaal. De identieke instellingen wijzen volgens Censys op herhaalde hostingtemplates.
Na uitsluiting van die clusters blijven ongeveer 815 installaties over. Dat is een benadering op basis van herkenbare configuraties, geen telling van 815 afzonderlijke bedrijven. Censys schrijft dat zo’n template kan betekenen dat veel IP-adressen naar een kleiner aantal echte servers verwijzen. De precieze omvang van de totale ARTEX-installatie blijft daardoor onzeker.
Open mappen bevatten aanvalsmateriaal
De consoles zijn niet de enige publieke bestanden die Censys aantrof. Op andere ARTEX-hosts vond het bedrijf 32 open mappen met onder meer post-exploitatiebestanden, stagers en implants. Stagers starten een volgende stap in een aanval; implants zijn programma’s die na toegang op een systeem blijven draaien.
De voorbeelden lopen uiteen van Linux-implantbestanden en scripts voor een reverse shell tot Windows-droppers en een privésleutel voor een man-in-the-middle-rootcertificaat. In één map stonden ook de .ssh-map, de opdrachtgeschiedenis van een shell en de ARTEX-installatie van een operator. Het gaat hier om bestanden op ARTEX-hosts, niet om bewijs dat klantgegevens uit een doelnetwerk zijn buitgemaakt.
Veel mappen bleven volgens Censys maar enkele uren tot een paar dagen open. Tussen 3 en 5 november verdwenen tien mappen en verschenen vijftien nieuwe op andere ARTEX-hosts. Een momentopname is daardoor snel verouderd. Censys bewaart scanhistorie, zodat een bestandslijst beschikbaar kan blijven nadat de openbare map zelf is gesloten.
ARTEX duikt op in aparte campagnes
De maker Autumn-27 verklaarde op 8 oktober dat het project gesloten wordt en geen nieuwe versies of onderhoud meer krijgt. De verklaring zegt dat de tool bedoeld was voor geautoriseerde tests en dat de maker niet bij aanvallen betrokken was. Voor teams die ARTEX al testten, viel daarmee het publieke update- en onderhoudspad weg. De nieuwe Censys-meting laat zien dat bestaande of gekopieerde installaties daarna nog steeds vanaf internet zichtbaar kunnen zijn.
Twee eerdere campagnes geven context, maar zijn afzonderlijke gebeurtenissen. Microsoft schreef dat Storm-0940 ARTEX inzette voor scans, wachtwoordaanvallen en misbruik van OAuth-toepassingen. De groep probeerde zich aan te melden bij meer dan 2.250 Microsoft 365-tenants, met een piek van 2.900 pogingen per minuut. Bij sommige slachtoffers ontstond volgens Microsoft binnen drie uur toegang met hoge rechten. De ConnectWise Cloud Backup-inbraak betrof een gedeelde beheeromgeving voor klanttenants.
CrowdStrike beschreef dat VAPOR PANDA ARTEX vanaf 17 oktober elf dagen inzette tegen ruim 200 organisaties in minstens veertien landen. Dat zijn doelwitten, geen 200 bevestigde inbraken. De analyse bevestigde vervolgactiviteit bij negen organisaties en wachtwoordpogingen bij minstens twaalf andere. Deze campagne staat volgens CrowdStrike los van Storm-0940; de ARTEX-campagne van VAPOR PANDA tegen ruim 200 organisaties vormt een tweede, afzonderlijke ontwikkeling.
Bereikbaarheid is geen bewijs van misbruik
Censys vond op 155 van de 1.465 hosts ook minstens één ander dreigingssignaal. CyberStrikeAI, een tweede AI-pentestframework, stond op 70 hosts naast ARTEX. Die samenloop laat zien dat sommige servers meerdere beveiligings- of aanvalstools combineren, maar bewijst niet dat elke operator dezelfde is of dat elke installatie voor een aanval wordt gebruikt.
De Censys-methode biedt securityteams een concreet aanknopingspunt: controleer of eigen testomgevingen of omgevingen van een MSP een ARTEX-console op het openbare internet tonen, en of tijdelijke mappen bestanden prijsgeven. Een beheerconsole heeft volgens het rapport geen internettoegang nodig om te functioneren. De organisatie kan de inventaris vergelijken met de herkenningskenmerken in het Censys-rapport en bij de leverancier navragen wie de installatie beheert.
Censys-onderzoeker Silas Cutler zei tegen TechCrunch dat niet iedere ARTEX-host kwaadwillig wordt beheerd en een deel waarschijnlijk bij geautoriseerde testers hoort. Het rapport zegt niet hoeveel buitenstaanders de open mappen hebben bekeken.
De scan maakt publieke configuraties zichtbaar, terwijl de open mappen laten zien dat sommige operators ook bestanden achterlaten. Hoeveel buitenstaanders die bestanden hebben ingezien, zegt Censys niet. Voor organisaties die ARTEX of een pentestdienst gebruiken, blijft de relevante vraag of de console en testbestanden uitsluitend bereikbaar zijn voor de mensen die ze nodig hebben.
Veelgestelde vragen
Bouw agents met duidelijke grenzen
Ik denk met je mee over een agent die binnen duidelijke grenzen werkt, ontwerp de toegang en bouw de complete oplossing van idee tot livegang. Waar het kan, automatiseer ik de uitvoering en laat ik het systeem self-hosted draaien.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
