Более 800 развертываний инструмента автоматизированного тестирования на проникновение Artex были доступны из интернета без пароля. Об этом 6 ноября 2026 года сообщил TechCrunch, пересказавший выводы исследовательской компании Censys. Для организаций это означает необходимость проверить собственные экземпляры Artex и связанные серверы: открытый доступ может раскрыть инструменты и данные, но сам по себе не доказывает атаку.
Что обнаружила Censys
Censys сообщила о более чем 800 отдельных развертываниях Artex, к которым можно было подключиться через интернет без учётных данных. TechCrunch описывает Artex как автономный инструмент тестирования на проникновение, который автоматически исследует компьютерные системы на уязвимости. Для такой работы ему не требуется быть доступным из публичной сети.
Поэтому проблема связана не с самим использованием Artex, а с настройкой серверов, на которых он размещён. Открытый интерфейс может сделать инструмент доступным посетителю без разрешения на проведение тестов.
Почему открытый сервер опасен
По данным, которые TechCrunch приписывает Censys, публично доступные системы могут раскрывать не только интерфейс запуска проверок, но и связанные с атаками компоненты. Среди таких компонентов упоминаются импланты — скрытое вредоносное программное обеспечение, предназначенное для компрометации сети и сохранения доступа к ней.
При этом представитель Censys отметил, что не каждый найденный экземпляр использовался злоумышленниками: многие могли принадлежать специалистам, проводящим разрешённые тесты. Поэтому более 800 открытых развертываний — это показатель масштаба небезопасной конфигурации, а не подтверждённое число операторов, атак или пострадавших организаций.
Какие атаки связывают с Artex
TechCrunch сообщил, что CrowdStrike связала применение Artex с атаками на финансовый сектор Южной Кореи в сентябре. Одним из оснований для такой атрибуции называлась открытая директория на экземпляре инструмента. Censys утверждала, что этот экземпляр оставался доступным из интернета несколько месяцев и, вероятно, содержал дополнительные сведения об атаках.
В октябре Artex также связывали с атакой на ConnectWise. Microsoft заявила, что злоумышленники проникали в облачные среды клиентов и похищали данные с такой скоростью, что у защитников оставалось мало времени на обнаружение и реакцию. По пересказу TechCrunch, в связанных с Artex атаках использовались и простые слабые места: слабые или уже известные пароли и отсутствие многофакторной аутентификации.
Что проверить владельцам серверов
Организациям, которые используют Artex или размещают связанные с ним серверы, следует исключить ненужную доступность из интернета, проверить правила сетевого доступа и заменить слабые или известные пароли. Многофакторная аутентификация уменьшает риск компрометации учётной записи, а анализ журналов и открытых директорий помогает выяснить, не получил ли сервер доступ посторонний.
Artex объявил о переходе на закрытую модель распространения, ограничив дальнейшие релизы платными клиентами. Однако TechCrunch сообщил, что десятки копий кода всё ещё оставались доступными на сайтах обмена кодом. Это не устраняет риск уже развернутых или скопированных экземпляров. При этом открытые развертывания и связанные атаки нужно оценивать отдельно: первое основано на наблюдении Censys, а сведения об атаках переданы через атрибуцию CrowdStrike и Microsoft в материале TechCrunch.
