Les copies d'ARTEX dotées de backdoors accordent un accès root aux consoles auto-hébergées

L'équipe indienne de réponse aux incidents informatiques (CERT-In) a identifié un acteur de menace actif, suivi sous le nom de Crafty Falcon, qui cible les secteurs de la banque, des services financiers et des assurances (BFSI) à l'aide d'outils assistés par intelligence artificielle. Parallèlement, des chercheurs en sécurité ont découvert que des versions imitant l'outil open source de tests d'intrusion ARTEX contiennent des backdoors cachés qui accordent aux attaquants un accès root complet à tout système exécutant le logiciel compromis.

Ce qui s'est passé

Le CERT-In a révélé que Crafty Falcon exploite des outils offensifs de sécurité basés sur l'IA disponibles publiquement, tels qu'ARTEX, PentAGI, Cairn et CyberStrikeAI. Ces outils permettent à l'acteur de menace d'exécuter des chaînes d'attaque complètes de manière autonome à une vitesse machine, générant et affinant rapidement des scripts d'attaque sur mesure. L'infrastructure soutenant ces attaques fait tourner fréquemment les adresses IP, rendant la détection difficile. La campagne a spécifiquement ciblé les plateformes d'échange de cryptomonnaies et les fournisseurs de services d'actifs numériques, entraînant le vol de clés cryptographiques et de fonds.

Dans un développement distinct mais lié, le développeur original d'ARTEX a supprimé le dépôt officiel de GitHub en raison de son utilisation dans des intrusions réelles. Cependant, plusieurs copies sont apparues sur GitHub et Docker Hub pour combler ce vide. Le chercheur indépendant Badbyte a identifié qu'une copie spécifique, hébergée sous le nom d'utilisateur trhhubsd, modifiait le fichier docker-compose.yml pour tirer une image malveillante nommée tomicdd/artex depuis Docker Hub. Cette image a été téléchargée environ 9 000 fois.

La modification malveillante insère une fonction cachée dans le gestionnaire de connexion. Si un champ CAPTCHA commence par un marqueur secret, le système exécute le reste de la saisie comme une commande shell root sans vérifier les identifiants. Cela crée un shell root non authentifié sur chaque installation, contournant les revues de code standard. Entre le 2 et le 4 novembre 2026, les chercheurs ont trouvé 62 consoles ARTEX exposées sur Internet servant cette build compromise, la première instance étant apparue le 20 octobre 2026.

Détails clés

• Le CERT-In identifie Crafty Falcon comme l'acteur de menace utilisant des outils IA comme ARTEX et PentAGI pour cibler les secteurs BFSI et crypto.
• L'image Docker ARTEX compromise tomicdd/artex a été téléchargée 9 000 fois depuis Docker Hub.
• Une fonction verifyCaptcha() cachée accorde un shell root non authentifié si le champ CAPTCHA contient un marqueur secret.
• Les chercheurs ont identifié 62 consoles ARTEX compromises en ligne entre le 2 et le 4 novembre 2026.
• Vingt-six des consoles compromises se trouvent aux États-Unis, suivies de 17 à Hong Kong et sept en Chine.
• Un total de 1 645 hôtes servant des consoles ARTEX ont été trouvés au 4 novembre 2026, à travers divers namespaces.

Contexte

ARTEX est un outil open source de tests d'intrusion conçu pour aider les professionnels de la sécurité à identifier les vulnérabilités dans leurs propres systèmes. Lorsque les développeurs retirent de tels outils des dépôts publics en raison de leur mauvaise utilisation, cela crée souvent un vide que les acteurs malveillants comblent avec des copies compromises. Ces dépôts imitateurs peuvent sembler identiques à l'original mais contiennent des modifications subtiles, telles que des fichiers de configuration Docker altérés, qui tirent des images de conteneurs malveillantes au lieu du logiciel légitime.

Un shell root représente le plus haut niveau d'accès administratif sur un système Linux ou Unix. Obtenir un accès root permet à un attaquant de lire, modifier ou supprimer n'importe quel fichier, d'installer des malwares et de pivoter vers d'autres systèmes du réseau. Dans le contexte des logiciels auto-hébergés, l'exécution d'un outil comme ARTEX en tant que root sur un port ouvert augmente considérablement le profil de risque, surtout si le logiciel lui-même est compromis. Le principe du moindre privilège suggère que les services ne doivent fonctionner qu'avec les permissions nécessaires à leur fonctionnement, mais de nombreux outils de tests d'intrusion nécessitent des privilèges élevés pour être efficaces, créant ainsi un compromis dangereux.

Pourquoi c'est important

Pour les équipes qui gèrent leurs propres logiciels, cet incident souligne les risques liés à la dépendance envers des outils open source non officiels ou non maintenus. Lorsqu'un projet populaire est abandonné ou retiré, les utilisateurs migrent souvent vers des forks sans vérifier leur intégrité. Dans ce cas, la commodité de trouver une copie fonctionnelle d'ARTEX a conduit des milliers d'utilisateurs à télécharger une image qui a secrètement remis le contrôle de leurs serveurs. Cela démontre comment les attaques sur la chaîne d'approvisionnement peuvent exploiter la confiance que les utilisateurs placent dans des noms d'outils et des interfaces familiers.

L'utilisation d'outils pilotés par l'IA par les acteurs de menace change également la vitesse et l'échelle des attaques. Les tests d'intrusion manuels traditionnels sont lents et méthodiques, mais les outils assistés par l'IA peuvent générer et tester des milliers de variantes d'exploits en quelques minutes. Pour les équipes d'auto-hébergement, cela signifie que les vulnérabilités doivent être corrigées plus vite que jamais. De plus, la capacité de ces outils à adapter les charges utiles en fonction des réponses de la cible rend les mécanismes de défense statiques moins efficaces, nécessitant des capacités de surveillance et de réponse plus dynamiques.

En outre, la compromission des consoles ARTEX expose non seulement le serveur hôte, mais aussi les données collectées par l'outil. Une instance compromise détient des résultats non corrigés, des identifiants actifs, des sessions capturées et des informations sur la position réseau. Un attaquant qui accède à la backdoor peut discrètement modifier les actions des agents lors des exécutions suivantes, transformant un outil de sécurité en une plateforme persistante de surveillance et d'attaque au sein de l'infrastructure de l'organisation.

Ce que vous pouvez faire

• Vérifiez la source de toutes les images Docker et des outils open source, en évitant les forks non officiels sauf si vous avez audité le code vous-même.
• Exécutez les outils de sécurité dans des environnements isolés ou des conteneurs avec des privilèges restreints, jamais en tant que root sur des systèmes de production si cela est évitable.
• Surveillez votre réseau pour détecter les connexions sortantes inattendues provenant des outils de sécurité, ce qui peut indiquer une compromission.
• Implémentez l'authentification multifacteur (MFA) sur toutes les applications exposées à Internet et les points d'accès privilégiés pour prévenir le vol d'identifiants.
• Faites tourner régulièrement les jetons API et les identifiants, et évitez de les coder en dur dans les fichiers de configuration ou le code source.
• Auditez vos tâches planifiées et vos workers en arrière-plan pour vous assurer qu'ils fonctionnent comme prévu et n'ont pas été manipulés.