ARTEX: útočníci nechávají AI agenty hledat tajemství na GitHubu a útočit na banky

Co se stalo

Během dvou dnů vyšly tři rozbory skutečných útoků vedených agentním AI frameworkem ARTEX. Check Point ho popisuje jako čínskou platformu pro penetrační testy s otevřeným kódem, v níž jazykové modely řídí několik agentů: plánují test, spouštějí bezpečnostní nástroje a zapisují nalezené chyby. Autor projekt v říjnu uzavřel, kopie (forky) ale kolují veřejně dál.

• Microsoft, 5. 11.: agenti od srpna 2026 hledají na GitHubu uniklá tajemství a od 28. 10. je používají k průniku do tenantů Entra ID a Azure. Útočníka nejmenuje.
• Microsoft, 6. 11.: skupina Storm-3358 (finančně motivovaná, z Kambodže) od října útočí přes ARTEX na finanční instituce, hlavně v jihovýchodní Asii, a na menší počet velkých finančních firem po světě.
• Check Point, 5. 11.: našel 2 557 serverů, které panel ARTEX hostují nebo hostovaly, z toho 1 608 dostupných. Deset bylo nastavených tak špatně, že odhalily celou databázi včetně zadání operátorů.

Technické podrobnosti

Tajemství z GitHubu → Azure. Agenti posílají na GitHub velké množství dotazů, které kombinují název cílové firmy s výrazy jako heslo, klíč, název cloudové nebo AI služby. S nalezenými přihlašovacími údaji aplikací se přihlásí jako service principal do Entra ID – v jednom případě přes víceklientskou aplikaci, jejíž tajemství uniklo u dodavatele. Pak sahají po operacích, které vracejí další tajemství (klíče úložišť, nastavení App Service, connection stringy, údaje AKS), čtou SharePoint, OneDrive a poštu, vypisují Key Vault a přes Run Command spouštějí skripty ve virtuálních strojích. Když požadavek selže kvůli staré verzi API, agent ho za 28–80 sekund zopakuje se správnou verzí. Nejvíc je zajímají klíče k AI službám.

Storm-3358 proti bankám. ARTEX skenuje systémy v internetu spolu s běžnými automatickými nástroji a zneužívá třeba nahrávání souborů bez přihlášení a SSRF. Přes Netcat a curl stahuje vzdálené přístupy WISP, vshell a AdaptixC2, na webových serverech nechává web shelly. Dál používá uniklé údaje, password spraying, výčet API a stahování databází. Mezi výchozí nástroje ARTEX patří Nmap, curl, wget, HTTP klienti v Pythonu a headless Chromium přes Playwright.

Kampaně z databází (Check Point). Operátor zadal cíl a pak už jen kontroloval postup. Jedna kampaň od 14. do 29. 10. napadla deset obchodů s podepisováním aplikací pro iOS a získala přes 300 certifikátů s hesly, z nichž tři prošly kontrolou použitelnosti. Pokus o krádež kryptoměn ze 292 platebních domén skončil s prázdnou peněženkou útočníka – část „úspěchů“ si agenti vymysleli. Třetí kampaň na herních tržištích našla soubor s asi 190 000 přihlašovacími údaji. Nejčastěji šlo o čínské modely DeepSeek.

Koho se to týká

Hlavně firem s Microsoft Entra ID a Azure, jejichž tajemství aplikací se kdy dostalo do veřejného kódu, a provozovatelů webů a API vystavených do internetu se slabou autentizací. Storm-3358 míří na finanční sektor. Microsoft upozorňuje i správce MSP: kompromitace dodavatele může otevřít přístup k zákazníkům.

Jak poznat napadení

IP adresy zveřejněné Microsoftem a Check Pointem (zneškodněné). Microsoft u jedné adresy uvádí v dotazu pro Sentinel 178.15.54.129, v tabulce 178.16.54.129 – prověřte obě. Adresa 199.19.77.18 je podle Microsoftu výstupní uzel Toru a může patřit i nesouvisejícímu provozu.

199.19.77[.]84
199.19.77[.]18
65.87.223[.]26
157.22.126[.]128
199.19.95[.]66
199.19.95[.]67
199.19.95[.]68
91.92.240[.]238
85.11.168[.]45
85.11.167[.]52
178.16.54[.]129
31.77.229[.]35

Rozsahy serverů ARTEX podle Check Pointu:

38.11.173[.]1-125
38.11.221[.]1-125
198.200.59[.]85-89
103.122.245[.]194, 198, 199, 204, 214-219
192.236.172[.]197
198.44.123[.]66
204.44.66[.]81
104.168.112[.]237

Co dál hledat:

• přihlášení service principalů a neinteraktivní přihlášení z uvedených adres, i neúspěšná – neúspěch následovaný úspěchem je podle Microsoftu naléhavý,
• jednu adresu, která se přihlašuje k více service principalům, nebo aplikaci, která během chvíle žádá tokeny k několika službám,
• výpisy tajemství v Key Vault, nové PAT tokeny v Azure DevOps, změny pipeline, Run Command ve VM,
• na serverech stahování curl/Netcat, nové cron úlohy, web shelly a skenování portů s výchozími user agenty nástrojů.

Výpisy z logů vložte do našeho extraktoru IOC – vytáhne IP adresy i ze zneškodněného zápisu a připraví seznam pro SIEM, data přitom zůstanou ve vašem prohlížeči.

Co udělat

1. Prozrazená tajemství zneplatněte. Cokoli, co bylo kdy ve veřejném repozitáři, protočte – smazání souboru nestačí. U zasažené aplikace odstraňte všechna tajemství, certifikáty a federované údaje (i ty, které přidal útočník) a protočte vše v Key Vault, které mohla číst.
2. Zapněte GitHub secret scanning a push protection, u Azure DevOps GitHub Advanced Security.
3. Zbavte se tajemství v aplikacích. Kde to jde, přejděte na managed identity, nastavte maximální platnost tajemství a omezte, kdo smí registrovat aplikace.
4. Omezte service principaly na nejnutnější oprávnění a použijte Conditional Access pro workload identity (blokace konkrétních IP, ne celých ASN).
5. Detekujte chování, ne jen indikátory. Strojově rychlé opakování a záplava různých požadavků prozradí agenta spíš než user agent. Microsoft doporučuje i návnady a tarpity, které agenty zdrží a dají spolehlivý signál.
6. Vystavené systémy otestujte a zpevněte – agenti zkoušejí známé chyby ve velkém (neověřená API, nahrávání souborů, výchozí hesla).

Časová osa

Aktualizace

• 13. 11. 2026 – FBI zveřejnilo technické varování Threat Overview of ARTEX Autonomous Penetration Testing Framework se souborem indikátorů; najdete ho v seznamu varování na ic3.gov. Ve stejný den vydal rozbor Cisco Talos. Podle něj ARTEX zveřejnil autor s přezdívkou Autumn-27 na GitHubu v červenci 2026 a vlastní řídicí server (C2) nemá, přes vrstvu MCP si ale operátoři připojují další nástroje – Talos ho viděl spolu s VShell, GoPhish a AdaptixC2. Talos napočítal přes 2 500 IP adres serverů spojených s ARTEX a upozorňuje i na podobné platformy (PentAGI – přes 700 dostupných instancí, HexStrike AI, Hephaestus). Shrnuje také zneužití popsané jinými firmami, mimo jiné čínskou skupinou VAPOR PANDA proti více než 200 organizacím ve 14 zemích (podle CrowdStrike).
  • Detekce: pravidla Snort 3 pro ARTEX mají SID 7:76, 7:77 a 7:78, ve Snortu 2 1:67494, 1:67495 a 1:67496. Pravidla 7:78 a 1:67496 jsou typu POLICY a ve výchozím stavu vypnutá. Indikátory Talos zveřejnil v repozitáři Cisco-Talos/IOCs.
  • Doporučení Talos navíc k našemu seznamu: MFA pro vzdálený a privilegovaný přístup, omezení počtu přihlášení a upozornění na password spraying, ochrana EDR proti vypnutí a sledování stavu senzorů (ARTEX podle Talos umí EDR obejít), nezávislá telemetrie a připravený postup pro rychlé zneplatnění tokenů a izolaci systémů. Podpisy nástrojů berte jako vodítko, ne jako jedinou detekci.
• 10. 11. 2026 – první verze článku.