گسترش نگران‌کننده ابزار تهاجمی مبتنی بر هوش مصنوعی ARTEX

ARTEX Offensive AI Tool Activity Far Exceeds Reported Campaigns, Censys Finds

تحقیقات جدید Censys نشان می‌دهد که ابزار متن‌باز ARTEX، که برای تست نفوذ خودکار طراحی شده، فراتر از کمپین‌های شناسایی‌شده اولیه در حال گسترش است. این ابزار که توسط مهاجمان سایبری برای حملات خودکار استفاده می‌شود، اکنون در صدها زیرساخت مختلف در سراسر جهان شناسایی شده است.

ماهیت و تاریخچه ARTEX

ابزار ARTEX در ژوئیه ۲۰۲۶ توسط کاربری با نام Autumn-27 در گیت‌هاب منتشر شد. این فریم‌ورک که با زبان Go نوشته شده و از کنسول وب Next.js بهره می‌برد، یک پلتفرم فرماندهی و کنترل (C2) تهاجمی است که به مدل‌های زبانی بزرگ (LLM) متصل می‌شود.

اگرچه نویسنده اصلی به دلیل سوءاستفاده‌های گسترده، مخزن اصلی را در اکتبر ۲۰۲۶ حذف کرد، اما این ابزار از طریق فورک‌های اجتماعی و نسخه‌های تجاری مانند ARTEX PRO همچنان در حال تکثیر است.

کمپین‌های مخرب و بازیگران تهدید

از اکتبر ۲۰۲۶، ARTEX در چندین عملیات مخرب شناسایی شده است. CrowdStrike این ابزار را در حملاتی علیه موسسات مالی کره جنوبی با استفاده از مدل Claude شرکت Anthropic مشاهده کرد. همچنین مایکروسافت، گروه Storm-0940 (موسوم به CovertNetwork-1658 یا ORB07) را مسئول نفوذ گسترده به مستاجران ConnectWise با استفاده از این ابزار دانست.

در نوامبر ۲۰۲۶، تیم CERT-In هند نسبت به حملات گروه Crafty Falcon علیه سازمان‌های مالی و رمزارزی هشدار داد که از ARTEX در کنار سایر ابزارهای هوش مصنوعی استفاده می‌کردند.

یافته‌های فنی Censys

گزارش ۵ نوامبر ۲۰۲۶ توسط Silas Cutler از Censys نشان می‌دهد که ۱۴۶۵ میزبان در سراسر جهان کنسول ARTEX را در معرض اینترنت قرار داده‌اند. حدود ۱۰.۶ درصد از این میزبان‌ها، علاوه بر ARTEX، میزبان ابزارهای مخرب دیگری مانند Cobalt Strike، Vshell و Adaptix C2 هستند.

تحقیقات نشان می‌دهد مهاجمان از چندین فریم‌ورک هوش مصنوعی به صورت همزمان استفاده می‌کنند؛ به طوری که ARTEX در کنار ابزارهایی نظیر CyberStrikeAI، PentAGI، HexStrike AI و RedAmon مشاهده شده است. همچنین ۴۳ میزبان ARTEX از نرم‌افزارهای دروازه LLM برای خودکارسازی حملات بهره می‌برند.

نکته‌های کلیدی

• شناسایی ۱۴۶۵ میزبان عمومی ARTEX در سراسر جهان.
• استفاده همزمان مهاجمان از چندین فریم‌ورک هوش مصنوعی در یک زیرساخت.
• ارتباط مستقیم ARTEX با گروه‌های تحت حمایت دولت چین مانند Storm-0940.
• وجود دایرکتوری‌های عمومی حاوی ابزارهای پس از نفوذ (Post-exploitation) در برخی میزبان‌های ARTEX.

چه باید کرد

• بررسی و اسکن زیرساخت‌های شبکه برای شناسایی کنسول‌های ARTEX یا سایر ابزارهای تست نفوذ هوش مصنوعی.
• مسدودسازی دسترسی‌های غیرمجاز به کنسول‌های مدیریتی و وب‌سایت‌های مبتنی بر Next.js که در معرض اینترنت قرار دارند.
• پایش ترافیک شبکه برای شناسایی ارتباطات با زیرساخت‌های مشکوک که از مدل‌های زبانی بزرگ برای عملیات تهاجمی استفاده می‌کنند.
• حذف یا ایمن‌سازی دایرکتوری‌های حاوی ابزارهای تست نفوذ و اسکریپت‌های خودکار در سرورهای سازمانی.