ФБР попередило про глобальні кібератаки із застосуванням ARTEX

Федеральне бюро розслідувань США попередило, що зловмисники використовують фреймворк для тестування на проникнення ARTEX із підтримкою штучного інтелекту для автоматизації кібератак проти організацій у різних країнах. У бюро заявили, що інструмент застосовували, зокрема, під час атаки на ланцюг постачання ConnectWise, яка дала змогу отримати несанкціонований доступ до середовищ клієнтів Microsoft 365.

Автоматизація атак

Як повідомляє BleepingComputer, з серпня 2026 року відкритий фреймворк ARTEX взяли на озброєння кілька угруповань. За даними ФБР, ці кампанії були спрямовані на фінансовий, державний, технологічний, оборонний і медичний сектори, а також інші галузі.

ARTEX написаний мовою Go та використовує ШІ-агентів для розвідки, пошуку вразливостей, експлуатації систем, підвищення привілеїв і викрадення даних. Власної мовної моделі він не має, натомість інтегрується із зовнішніми великими мовними моделями, серед яких Anthropic Claude, OpenAI GPT, DeepSeek, GLM, Grok і Kimi. Користувачі задають цілі, а спеціалізовані агенти перетворюють їх на команди для виконання.

ФБР зазначило, що деякі вторгнення переходили від початкового вибору цілі до отримання привілейованого доступу менш ніж за три години. Фреймворк, за оцінкою бюро, дає змогу навіть зловмисникам із невеликим технічним досвідом одночасно проводити складні операції проти кількох цілей.

Відомі кампанії та захист

ARTEX особливо ефективний у пошуку вразливостей у системах, яким приділяють менше уваги: партнерських порталах, застосунках для працівників, застарілих сервісах і сторонніх інтеграціях. Репозиторій фреймворку з’явився на GitHub у липні 2026 року, але розробник Autumn-27 видалив його 8 жовтня після повідомлень про зловживання. Водночас інструмент доступний через форки спільноти, архівні копії, локалізовані версії та комерційну редакцію ARTEX PRO.

На початку листопада дослідники виявили понад 1600 публічно доступних консолей ARTEX. У жовтневій атаці на ConnectWise, за даними Huntress, постраждали щонайменше 162 середовища Microsoft 365. Microsoft пов’язала кампанію з угрупованням, яке відстежує під назвою Storm-0940 та характеризує як пов’язане з Китаєм.

ФБР рекомендувало захищати доступні з інтернету застосунки, обмежувати доступ до інтерфейсів хмарного адміністрування, перевіряти дозволи застосунків і журнали автентифікації. Також організаціям радять відстежувати незвичні сплески автоматизованих запитів, підозрілу хмарну активність, неочікувані зміни облікових даних або привілеїв і великі передавання даних.