Исследователи зафиксировали массовую утечку инструментария ARTEX китайского происхождения, который используется для автоматизации хакерских атак с помощью искусственного интеллекта, что привело к появлению 1 465 открытых копий программы в сети. Специалисты обнаружили, что значительная часть этих узлов напрямую связана с наступательными операциями, так как 155 серверов одновременно запускали дополнительные вредоносные инструменты Cobalt Strike или Adaptix C2. Ситуация демонстрирует уязвимость инфраструктуры злоумышленников, которые из-за ошибок конфигурации сделали собственные средства взлома доступными для сторонних лиц.
Программное обеспечение ARTEX представляет собой интеллектуальный слой над платформой разведки активов ScopeSentry, что позволяет синхронизировать найденные домены и конечные точки с языковыми моделями для анализа. Разработчик Autumn-27 выпустил этот инструмент в конце июля 2026 года, однако после фиксации его использования в реальных атаках закрыл исходный код и прекратил официальное распространение. Несмотря на удаление репозитория, в интернете продолжают циркулировать архивные копии и переведенные версии программы, которые активно эксплуатируются группировками для проникновения в сложные корпоративные сети.
Анализ инцидентов свидетельствует об использовании модели DeepSeek v4,1-flash в качестве ядра для искусственного интеллекта ARTEX, хотя злоумышленники также интегрируют системы Claude Code и Grok для расширения возможностей. В Южной Корее финансовые группы скомпрометировали системы банковского кредитования и мобильные приложения для сотрудников, похитив данные через неправильно настроенные серверы. Исследователи получили доступ к историям сессий и конфигурациям, так как хакеры оставили открытыми 32 директории с бинарными файлами эксплойтов и инструментами для перемещения внутри взломанных сетей.
Корпорация Microsoft связала ARTEX с группировкой Storm-0940, которая осуществляла взломы облачных сред клиентов ConnectWise и демонстрировала аномальную скорость проведения атак в 2 900 попыток входа в минуту. Благодаря автоматизации сканирования и злоупотреблению приложениями OAuth злоумышленники получали привилегированный доступ к облачным ресурсам менее чем за 3,0 часа после начала операции. Такой темп работы превышает возможности классических методов, так как искусственный интеллект позволяет мгновенно адаптировать подходы к авторизации и обходить стандартные системы мониторинга подозрительной активности в реальном времени.
Некоторые операторы ARTEX случайно раскрыли собственные домашние директории, включая файлы конфигурации SSH и полную историю командной оболочки, что значительно облегчает идентификацию их деятельности. Среди обнаруженных данных найдены скрипты для обратного подключения, импланты вредоносного программного обеспечения и инструменты для горизонтального перемещения в системах Windows. Общее количество уникальных инсталляций составляет примерно 815 единиц, хотя около 650 хостов принадлежали к двум группам идентично настроенных инфраструктур, что указывает на централизованное развертывание ботнетов неизвестными пока субъектами киберпреступного мира.
