1.465 ARTEX hostunda yönetim konsolu internete açık; 21’i Türkiye’de

İnternete açık ARTEX yönetim konsolu barındıran 1.465 host tespit edildi; bunların 21’i Türkiye’de bulunuyor.

Censys, araştırma sonuçlarını 5 Kasım’da yayımladı. Sayımın referans tarihi 4 Kasım’dı. Censys, raporunda bu sayının saldırı veya etkilenen kurum sayısını değil, konsolu internete açık hostları gösterdiğini belirtti.

Hostların yaklaşık 650’si aynı şekilde yapılandırılmış iki sunucu kümesinde toplandı. Censys, bunları dışarıda bırakarak birbirinden farklı olduğu değerlendirilen yaklaşık 815 dağıtım örneği belirledi.

Bölgelere göre ABD 726 hostla ilk sırada yer aldı. Hong Kong’da 387, Çin’de 177, Japonya’da 51 ve Türkiye’de 21 host tespit edildi.

Censys, 155 ARTEX hostunda başka tehdit araçları da saptadı. Bunlar arasında diğer yapay zekâ saldırı çerçeveleri, keşif ve tünelleme araçları ile Vshell, Cobalt Strike ve Adaptix C2 gibi uzaktan kontrol araçları bulunuyor.

32 başka ARTEX hostunda ise dışarıdan erişilebilen dizinler bulundu. Censys, bu dizinlerde sızma sonrasında kullanılan araçların ve kötü amaçlı yazılımların yer aldığını bildirdi.

ARTEX, temmuz ayında yayımlanan açık kaynaklı bir otomatik sızma testi aracı. Kullanıcı test kapsamını ve hedefleri belirledikten sonra yapay zekâ ajanı sistemleri inceliyor ve işlemleri yürütüyor. Araç güvenlik denetimlerinde kullanılabiliyor; ancak saldırılarda kötüye kullanıldığına dair örnekler de bildirildi.

ARTEX görevleri hedefe göre parçalara ayırıyor; birden fazla ajan keşif ve uygulama adımlarını sürdürüyor. Bu yapı, yönetim konsolunun internete açılmadan da kullanılmasına olanak veriyor. Censys ise incelediği konsollara internet üzerinden erişilebildiğini belirtti.

Censys, açık konsolların tümünün kötü niyetle işletildiği sonucuna varılamayacağını ve bazılarının izinli güvenlik testlerinde kullanılıyor olabileceğini kaydetti. Şirket, yönetim konsollarını internete açmak için bir gereklilik bulunmadığını da ekledi.

Güney Kore’deki finans kuruluşlarını hedef alan bir saldırıda da ARTEX kullanıldı. CrowdStrike, eylül sonu ile ekim başı arasındaki saldırıyla ilgili olarak saldırganın sunucusundaki herkese açık dizinde ARTEX yapılandırma dosyaları ile yapay zekâ aracının görev kayıtlarını bulduğunu açıkladı. CrowdStrike’ın analizine göre saldırıda veri sızıntısı yaşandı.

Censys, söz konusu sunucudaki dizinin 18 Ağustos’tan beri dışarıdan erişilebilir olduğunu bildirdi. Dizinde kalan dosya adları arasında Güney Kore bankalarının yanı sıra ödeme ve oyun hizmetleriyle bağlantılı hedeflere ilişkin ifadeler de vardı.

TokenPost daha önce yedi finans kuruluşunu etkileyen saldırıda saldırganların yapay zekâ kullandığına dair bulgular tespit edildiğini bildirmişti. Censys’in araştırması, saldırıda kullanıldığı öne sürülen sunucunun saldırı analizinin yayımlanmasından önce de internete açık olduğunu gösteriyor.

ARTEX, Güney Kore’deki finans kuruluşlarına yönelik saldırıların yanı sıra ConnectWise bağlantılı bir ihlalde de kullanıldı. Microsoft, 21 Ekim tarihli analizinde Çin bağlantılı Storm-0940’ın ConnectWise bulut yedekleme tedarik zincirine yönelik ihlal sırasında hedefleri ARTEX ile taradığını ve parola denemelerini otomatikleştirdiğini bildirdi. Microsoft’a göre bazı saldırılarda ilk hedeflemeden bulut ortamında yüksek yetkiler elde edilmesine kadar üç saatten kısa süre geçti.

ARTEX’in geliştiricisi 8 Ekim’de açık geliştirmeyi durdurduğunu ve bundan sonra kaynak kodunu yayımlamayacağını açıkladı. Censys, özgün depo kaldırılmış olsa da kod arşivlerinin, çevirilerin ve farklı adlarla dağıtılan sürümlerin dolaşımda olduğunu bildirdi.