Censys称逾800个AI渗透测试工具实例可在公网无密码访问

网络安全公司Censys在博客中称，发现800多个Artex部署实例可从互联网访问，且登录无需密码。Artex是一款中国制造的开源自主渗透测试工具，可免费下载并在自有服务器上运行。自7月公开发布以来，Artex已与多起网络攻击有关，包括9月针对韩国金融业的攻击。

Censys首席安全研究员西拉斯·卡特勒表示，并非每个Artex实例都被恶意运营，许多由获授权测试人员使用；但数百个实例为何暴露在公网仍不清楚，因为该软件并不要求这些实例可从公网访问。公开可访问的系统还会暴露植入程序等攻击工具，这类隐藏恶意软件用于入侵并维持对受害者网络的持久访问。

CrowdStrike将9月韩国金融业攻击归因于一名讲中文的黑客，其使用了Artex实例；Censys称涉事实例已公开暴露数月，似乎存有更多攻击数据，范围远超韩国银行，还包括支付和游戏公司。Artex还用于10月对IT支持巨头ConnectWise的攻击，微软称有关黑客借此进入客户云环境并窃取数据，防御者几乎没有时间检测和响应。许多相关攻击利用了弱密码或已知密码以及缺乏多因素认证等简单漏洞。

Artex此后宣布将转为闭源，实际上将后续版本限定给付费客户；但代码分享网站上仍有数十份Artex代码副本，可用于正在进行的攻击。