✨︎ Resumen (TL;DR):
- Censys detectó 1,465 hosts con la consola web de ARTEX visible desde internet.
- Unos 650 hosts estaban agrupados en dos configuraciones repetidas; al excluirlos, el cálculo quedó en unos 815 despliegues de aspecto distinto.
- Censys también halló 155 hosts con otra herramienta clasificada como amenaza y 32 directorios abiertos, pero esos datos no prueban una intrusión.
Censys detectó 1,465 hosts con la consola web de ARTEX expuesta a internet y estimó que correspondían a unos 815 despliegues de aspecto distinto. La firma publicó el hallazgo el 5 de noviembre, después de que otras investigaciones vincularan la herramienta con campañas contra entidades financieras y clientes de servicios tecnológicos. El conteo muestra consolas visibles, pero no revela cuántos operadores actuaban con fines maliciosos ni cubre todas las instalaciones existentes.
ARTEX es un programa de código abierto que coordina agentes de IA para realizar pruebas de seguridad. Un operador puede establecer un objetivo y dejar que el sistema distribuya tareas entre esos agentes. Esa capacidad puede servir para evaluaciones autorizadas, aunque también se ha empleado contra objetivos ajenos.
En el rastreo de Censys, un host es un equipo o sistema conectado a una red. La consola web es el panel desde el que un operador supervisa tareas y resultados. Encontrar ese panel en internet permite detectar una instalación, pero no demuestra quién la usa, con qué propósito ni si una intrusión estaba en curso.
815 despliegues no significa 815 operadores
Censys observó 1,465 hosts. Unos 650 se concentraban en dos grupos de alojamiento con configuraciones repetidas. Para la firma, esa similitud apunta a sistemas desplegados a partir de una misma plantilla, no necesariamente a cientos de operadores distintos.
Al excluir ambos grupos, quedaron unos 815 despliegues de aspecto diferente. La resta ayuda a interpretar el alcance del rastreo, pero no prueba que cada despliegue pertenezca a una persona distinta. Además, ARTEX puede funcionar sin exponer su consola a internet, por lo que el estudio no cuenta todas las instalaciones existentes.
Censys advirtió que parte de las consolas visibles podría pertenecer a profesionales que realizan pruebas autorizadas. TechCrunch, por su parte, informó que más de 800 despliegues eran accesibles desde la web sin necesidad de una contraseña.
El medio señaló el riesgo de que terceros aprovecharan herramientas expuestas, pero su reporte no precisa cuántas consolas permitían ejecutar tareas. Ver un panel y poder operar la herramienta son situaciones distintas.
La exposición dejó pistas, no una cuenta de ataques
Censys detectó al menos otra herramienta que clasifica como amenaza en 155 hosts, equivalentes a 10.6% del total observado. También encontró 32 directorios abiertos con archivos asociados a distintas etapas de ciberataques.
La presencia de varias herramientas en una misma máquina no demuestra por sí sola que alguien estuviera ejecutando una intrusión. El hallazgo identifica señales técnicas expuestas, no el resultado de cada operación.
En una investigación separada, Check Point examinó diez instalaciones de ARTEX que habían dejado expuestas sus bases de datos completas. Esos registros permitieron a sus investigadores observar instrucciones de operadores y actividades de agentes de IA. La muestra documenta casos concretos, no lo que ocurre en todas las consolas detectadas por Censys.
Uno de esos casos correspondía a una campaña para obtener criptomonedas. Check Point reportó que los agentes identificaron vulnerabilidades y, en ocasiones, interpretaron algunas respuestas como si hubieran logrado los retiros. La firma no observó ingresos en la cartera del operador. Eso no descarta que otros ataques con ARTEX hayan tenido éxito.
Las investigaciones de Censys y Check Point responden preguntas diferentes y podrían incluir sistemas en común. Sus hallazgos no deben sumarse para calcular un total mundial ni utilizarse como una medición directa del crecimiento de ARTEX.
El doble uso de ARTEX quedó en evidencia
ARTEX fue publicado en julio como software de código abierto para pruebas de seguridad. Su diseño permite coordinar agentes que trabajan con modelos de IA: el operador establece un objetivo y el sistema reparte tareas. La misma capacidad puede utilizarse con autorización o contra sistemas ajenos.
Después de que se conociera su uso en ataques, el creador anunció en octubre que cerraría el proyecto y dejaría de publicar nuevas versiones. Según Censys, el repositorio original fue retirado, aunque copias y versiones derivadas continuaron circulando.
Un panel visible no confirma una intrusión
Entre los antecedentes figura una campaña que CrowdStrike relacionó con ataques contra entidades financieras de Corea del Sur. Censys revisó el historial de uno de los servidores mencionados en esa investigación y encontró que algunos directorios habían estado expuestos desde agosto.
Los nombres de archivos apuntaban a posibles objetivos fuera de la banca surcoreana, pero por sí solos no confirman que todos esos objetivos hubieran sufrido una intrusión.
La exposición puede revelar información sobre los operadores y sus actividades, como ocurrió en los casos examinados por las firmas. La cifra de unos 815 despliegues, sin embargo, debe leerse como una estimación de sistemas con apariencia distinta dentro de una muestra visible. Una consola pública, un archivo expuesto y un ataque confirmado son evidencias diferentes, y Censys no las convirtió en un mismo conteo.
