Дослідники зафіксували масовий витік інструментарію ARTEX китайського походження, який використовується для автоматизації хакерських атак за допомогою штучного інтелекту, що призвело до появи 1 465 відкритих копій програми в мережі. Спеціалісти виявили, що значна частина цих вузлів безпосередньо пов’язана з наступальними операціями, оскільки 155 серверів одночасно запускали додаткові шкідливі інструменти Cobalt Strike або Adaptix C2. Ситуація демонструє вразливість інфраструктури зловмисників, які через помилки конфігурації зробили власні засоби зламу доступними для сторонніх осіб.
Програмне забезпечення ARTEX представляє собою інтелектуальний шар над платформою розвідки активів ScopeSentry, що дозволяє синхронізувати знайдені домени та кінцеві точки з мовними моделями для аналізу. Розробник Autumn-27 випустив цей інструмент наприкінці липня 2026 року, проте після фіксації його використання в реальних атаках закрив вихідний код та припинив офіційне розповсюдження. Незважаючи на видалення репозиторію, в інтернеті продовжують циркулювати архівні копії та перекладені версії програми, які активно експлуатуються угрупованнями для проникнення в складні корпоративні мережі.
Аналіз інцидентів свідчить про використання моделі DeepSeek v4,1-flash як ядра для штучного інтелекту ARTEX, хоча зловмисники також інтегрують системи Claude Code та Grok для розширення можливостей. У Південній Кореї фінансові групи скомпрометували системи банківського кредитування та мобільні додатки для співробітників, викравши дані через неправильно налаштовані сервери. Дослідники отримали доступ до історій сесій та конфігурацій, оскільки хакери залишили відкритими 32 директорії з бінарними файлами експлойтів та інструментами для пересування всередині зламаних мереж.
Корпорація Microsoft пов’язала ARTEX з угрупованням Storm-0940, яке здійснювало злами хмарних середовищ клієнтів ConnectWise та демонструвало аномальну швидкість проведення атак у 2 900 спроб входу за хвилину. Завдяки автоматизації сканування та зловживанню додатками OAuth зловмисники отримували привілейований доступ до хмарних ресурсів менш ніж за 3,0 години після початку операції. Такий темп роботи перевищує можливості класичних методів, оскільки штучний інтелект дозволяє миттєво адаптувати підходи до авторизації та обходити стандартні системи моніторингу підозрілої активності в реальному часі.
Деякі оператори ARTEX випадково розкрили власні домашні директорії, включно з файлами конфігурації SSH та повною історією командної оболонки, що значно полегшує ідентифікацію їхньої діяльності. Серед виявлених даних знайдено скрипти для зворотного підключення, імпланти шкідливого програмного забезпечення та інструменти для горизонтального переміщення в системах Windows. Загальна кількість унікальних інсталяцій становить приблизно 815 одиниць, хоча близько 650 хостів належали до двох груп ідентично налаштованих інфраструктур, що вказує на централізоване розгортання ботнетів невідомими поки що суб’єктами кіберзлочинного світу.
