ФБР предупредило о реальных атаках с ARTEX — открытым инструментом, который подключает языковые модели к специализированным ИИ-агентам и автоматизирует взлом. В отдельных случаях злоумышленники проходили путь от выбора цели до доступа с повышенными правами менее чем за три часа.
Выпущенный 13 ноября бюллетень сообщает, что разные группировки применяют ARTEX как минимум с августа 2026 года. Среди целей были государственные учреждения, технологические, финансовые, оборонные и медицинские организации по всему миру.
Человек задаёт ARTEX цель, после чего агенты ищут доступные системы и уязвимости, пытаются проникнуть внутрь, расширить права и вывести данные. Фреймворк работает с внешними языковыми моделями, включая Claude, GPT, DeepSeek, GLM, Grok и Kimi. Такая автоматизация позволяет одновременно атаковать несколько организаций и оставляет защитникам меньше времени на реакцию.
Читайте также
В предупреждении упомянут октябрьский взлом цепочки поставок ConnectWise Cloud Backup. После компрометации учётных данных приложений злоумышленники с помощью ARTEX попытались войти более чем в 2250 клиентских сред Microsoft 365. Это не означает, что все они были взломаны: Microsoft наблюдала дальнейшие действия только в части сред, включая изменения учётных данных и попытки закрепиться в облаке.
Ранее мы писали о кампании, в которой один оператор направил агентов ARTEX против более чем 200 организаций. Новый бюллетень ФБР объединяет несколько известных эпизодов и публикует признаки атак и меры защиты. Удаление исходного проекта с GitHub не остановило распространение: сохранились копии, ответвления и коммерческая версия ARTEX PRO. К началу ноября исследователи обнаружили более 1600 доступных из интернета панелей управления.
ФБР рекомендует ограничить доступ к облачным панелям администрирования и резервного копирования, проверить права приложений и журналы входов, а также искать резкие серии автоматических запросов, неожиданные изменения учётных данных и крупные выгрузки. Организациям, использовавшим затронутые приложения ConnectWise, следует проверить события Microsoft 365 начиная с 1 октября и сохранить журналы для расследования.
