Censys, parolasız erişilebilen 800'den fazla Artex kurulumu tespit etti
Censys araştırmacıları, AI agent tabanlı otonom pentest aracı Artex'in internetten parola sorulmadan erişilebilen 800'den fazla kurulumunu buldu. Açık kurulumlarda implant gibi saldırı araçları da görülebiliyor.
İnternet tarama şirketi Censys, açık kaynak otonom penetrasyon testi aracı Artex'in internetten erişilebilen ve giriş için parola istemeyen 800'den fazla ayrı kurulumunu tespit etti. TechCrunch'ın 6 Kasım'daki haberine göre bulguları Censys'in baş güvenlik araştırmacısı Silas Cutler bir blog yazısında paylaştı.
Artex, keşiften veri sızdırmaya kadar saldırı adımlarını az insan müdahalesiyle yürütebilen bir AI agent sistemi olarak biliniyor. Microsoft, Ekim ayında Storm-0940'ın Artex'i ConnectWise tedarik zinciri saldırısında kullandığını duyurmuştu.
Açık kurulumlarda ne görülüyor?
TechCrunch'ın aktardığına göre parolasız erişilebilen kurulumlar, kalıcı erişim için kullanılan implant'lar dahil saldırı araçlarını açığa çıkarıyor. Cutler, her kurulumun kötü niyetle işletilmediğini, birçoğunun yetkili testçiler tarafından kullanıldığını belirtiyor. Aracın çalışmak için internete açık olması gerekmiyor; yüzlerce kurulumun neden açık bırakıldığı belli değil.
Haberde, Eylül'de Güney Kore finans sektörünü hedef alan ve CrowdStrike'ın Çince konuşan bir aktöre bağladığı saldırıda kullanılan kurulumun da aylarca açık kaldığı aktarılıyor. Censys verilerine göre bu kurulumda Güney Koreli bankaların ötesinde ödeme ve oyun şirketlerine ait saldırı verileri de bulunuyordu.
Neden önemli?
Yanlış yapılandırılmış saldırı altyapısı hem saldırganı hem de hedeflerini görünür kılıyor: dışarıdan biri bu araçlara erişip başka amaçlarla kullanabilir, hedef kurumların verisi üçüncü kişilere açılabilir. TechCrunch'a göre Artex'e bağlanan saldırıların çoğu zayıf veya bilinen parolalar ve MFA eksikliği gibi basit zayıflıklardan yararlandı. Artex kapalı kaynağa geçeceğini duyurmuş olsa da kodun düzinelerce kopyası kod paylaşım sitelerinde dolaşmaya devam ediyor.
Ne yapılmalı?
- Kurumunuzda yetkili red team veya pentest ekipleri Artex ya da benzeri agent tabanlı araçlar kullanıyorsa, bu araçların yalnızca iç ağdan ve kimlik doğrulamayla erişilebildiğini doğrulayın.
- İnternete açık yönetim arayüzlerinde zayıf ve varsayılan parolaları tarayın; tüm uzaktan erişim noktalarında MFA zorunlu olsun.
- Microsoft'un Storm-0940 bildirimindeki IOC'leri ve davranış göstergelerini SIEM/EDR kurallarınıza ekleyin.
- Dış saldırı yüzeyi taramalarınıza bilinen saldırı araçlarının arayüz izlerini de dahil edin; kendi IP bloklarınızda beklenmeyen bir pentest aracı görürseniz olay müdahalesi başlatın.
