Censys detectó 1,465 hosts con la consola de ARTEX expuesta a internet y calcula que quedaban unos 815 despliegues de aspecto distinto. La herramienta utiliza inteligencia artificial para realizar pruebas de seguridad y también ha sido empleada en ciberataques, pero el recuento no identifica cuántos de sus operadores actúan con fines maliciosos.
La firma publicó el hallazgo el 5 de noviembre, después de que otras investigaciones vincularan ARTEX con campañas contra entidades financieras y clientes de servicios tecnológicos. Parte de las consolas visibles podría pertenecer a profesionales que realizan pruebas autorizadas, advirtió Censys.
De 1,465 hosts a unos 815 despliegues
Un host es un equipo o sistema conectado a una red. En este caso, Censys buscó servidores que mostraran la consola web de ARTEX, el panel desde el que un operador supervisa tareas y resultados. La presencia de ese panel en internet permite detectar la instalación, pero no explica por sí sola quién la usa ni con qué propósito.
De los 1,465 hosts observados, unos 650 se concentraban en dos grupos de alojamiento con configuraciones repetidas. Para Censys, esa similitud apunta a sistemas desplegados a partir de una misma plantilla, en lugar de cientos de operadores necesariamente distintos. Al excluir ambos grupos, quedaron unos 815 despliegues de aspecto diferente.
La resta ayuda a interpretar el alcance del rastreo, pero tampoco demuestra que cada uno de esos 815 despliegues pertenezca a una persona distinta. Además, ARTEX puede funcionar sin exponer su consola a internet, de modo que el estudio no pretende contar todas las instalaciones existentes.
TechCrunch informó que más de 800 despliegues eran accesibles desde la web sin necesidad de una contraseña. El medio planteó el riesgo de que terceros pudieran aprovechar herramientas expuestas; su reportaje no precisa cuántas consolas permitían ejecutar tareas, algo distinto de poder ver un panel.
Qué quedó a la vista
Censys detectó al menos otra herramienta que clasifica como amenaza en 155 de los hosts con ARTEX, el 10.6 % del total observado. También encontró 32 directorios abiertos con archivos asociados a distintas etapas de ciberataques. La presencia de varias herramientas en una misma máquina no demuestra por sí sola que se estuviera ejecutando una intrusión.
En una investigación separada, Check Point examinó diez instalaciones de ARTEX que habían dejado expuestas sus bases de datos completas. Esos registros permitieron a sus investigadores observar instrucciones de operadores y actividades de agentes de IA. La muestra ofrece una ventana a casos concretos, no una descripción de lo que ocurre en todas las consolas detectadas por Censys.
Uno de los casos también mostró los límites de la automatización. Check Point reportó que, en una campaña dirigida a obtener criptomonedas, los agentes identificaron vulnerabilidades y en ocasiones interpretaron respuestas como si hubieran logrado retiros. La firma no observó ingresos en la cartera del operador. Ese resultado no descarta que otros ataques con la herramienta hayan tenido éxito.
Las dos investigaciones responden preguntas distintas y podrían incluir sistemas en común. Sus hallazgos no deben sumarse para obtener un total mundial ni usarse como una medición directa del crecimiento de ARTEX.
Una herramienta de pruebas usada en campañas distintas
ARTEX fue publicado en julio como un programa de código abierto para pruebas de seguridad. Puede coordinar agentes que trabajan con modelos de IA, de manera que un operador establezca un objetivo y el sistema distribuya tareas. Esa capacidad sirve para revisar sistemas con autorización, pero también puede emplearse contra objetivos ajenos.
Tras conocerse su uso en ataques, el creador anunció en octubre que cerraría el proyecto y dejaría de publicar nuevas versiones. Según Censys, el repositorio original fue retirado, aunque copias y versiones derivadas continuaron circulando.
Entre los antecedentes está la campaña que CrowdStrike relacionó con ataques a entidades financieras de Corea del Sur. Censys revisó el historial de uno de los servidores mencionados en esa investigación y encontró que algunos directorios habían estado expuestos desde agosto. Los nombres de archivos apuntaban a posibles objetivos fuera de la banca surcoreana, pero no confirman por sí solos que todos hubieran sufrido una intrusión.
Gerardo Pavez
La exposición puede revelar información sobre los operadores y sus actividades, como ocurrió en los casos examinados por las firmas. Para interpretar cada hallazgo sigue siendo necesario distinguir una consola visible, un archivo expuesto y un ataque confirmado: son evidencias diferentes.
