Microsoft, ARTEX aracının devlet destekli saldırılarda kullanıldığını açıkladıMicrosoft says ARTEX tool used in state-sponsored attacks

ÖzetSummary

Microsoft, devlet bağlantılı aktörlerin GitHub'da Çinli bir geliştirici tarafından yayımlanan açık kaynak otonom penetrasyon testi aracı ARTEX'i siber saldırıları otomatikleştirmek için kullandığını açıkladı. AhnLab'ın izole ortamda yaptığı testler, basit doğal dil istemlerinin insan müdahalesi olmadan başlangıç erişiminden iç ağ hareketine kadar çoklu ajan istismarını sürdürebildiğini doğruladı.Microsoft revealed that state-linked actors are using ARTEX, an open-source autonomous penetration testing tool published by a Chinese developer on GitHub, to automate cyberattacks. Tests conducted by AhnLab in an isolated environment confirmed that simple natural language prompts can drive multi-agent exploitation from initial access to internal network lateral movement without human intervention.

Neden ÖnemliWhy it matters

Bu olay, tek bir açık kaynak deposunun ABD, Çin, Hong Kong, Singapur, Japonya ve Güney Kore'de devlet düzeyinde sızma kampanyaları için bir güç çarpanına dönüştürülebileceğini gösteriyor. Saldırgan beceri eşiği birkaç cümlelik talimata indirgeniyor. Ayrıca bir yönetişim boşluğu da ortaya çıkıyor: Orijinal depo silindikten sonra değiştirilmiş dallar yaygınlaştı. Bu durum, kaynak izleme ve kaldırma işlemlerini neredeyse imkânsız hale getiriyor. Savunmacılar, araca özgü engelleme yerine genel sertleştirmeye güvenmek zorunda kalıyor.This incident demonstrates how a single open-source repository can be transformed into a force multiplier for state-level intrusion campaigns across the US, China, Hong Kong, Singapore, Japan, and South Korea. The skill threshold for attackers is reduced to a few sentences of instructions. It also highlights a governance gap: after the original repository was deleted, modified forks proliferated, making source tracking and takedown nearly impossible. Defenders are forced to rely on general hardening rather than tool-specific blocking.

Öne ÇıkanlarHighlights

• AhnLab'ın kum havuzu testi, Goals, Planner ve Worker adlı üç ajanın insan döngüsünde yer almadan dosya yükleme açığını uzaktan komut çalıştırma ve yatay hareketle zincirleme şekilde kullandığını gösterdi.AhnLab's sandbox testing showed that three agents—Goals, Planner, and Worker—chained file upload vulnerabilities into remote command execution and lateral movement without human-in-the-loop intervention.
• GitHub deposu kaldırıldıktan sonra AhnLab, ABD, Çin, Hong Kong ve Singapur'da yoğunlaşan, ARTEX veya dallarını çalıştıran 600 aktif genel IP adresi tespit etti.After the GitHub repository was removed, AhnLab identified 600 active public IP addresses running ARTEX or its forks, concentrated in the US, China, Hong Kong, and Singapore.
• Geliştirici, 8 Ekim tarihli açıklamasında saldırıları reddetti ve güncellemeleri durdurdu. Ancak aracın kod tabanı, birden fazla operatör tarafından değiştirilmeye ve yeniden dağıtılmaya devam etti.The developer denied involvement in the attacks in a statement dated October 8 and halted updates. However, the tool's codebase continued to be modified and redistributed by multiple operators.

EleştiriCritical take

Çin hükümeti bağlantılı olduğu iddiası, tamamen Microsoft'un 21 Ekim tarihli açıklamasına dayanıyor. Makale, belirli ARTEX dağıtımlarını bir devlet aktörüne bağlayan bağımsız adli tıp kanıtı sunmuyor. AhnLab'ın kendisi bile, ARTEX ile ilişkili her IP adresini tehdit aktörü olarak sınıflandırmanın imkânsız olduğuna dikkat çekiyor. Bu anlatı, geniş çapta dallanmış bir açık kaynak aracını tek bir jeopolitik rakiple özdeşleştirme riski taşıyor. Bu durum, aracın gerçek dünya etkisini ve kökeninin netliğini abartma ihtimali barındırıyor.The claim of Chinese government linkage relies entirely on Microsoft's October 21 statement. The article does not provide independent forensic evidence linking specific ARTEX deployments to a state actor. AhnLab itself notes that it is impossible to classify every IP address associated with ARTEX as a threat actor. This narrative risks equating a widely forked open-source tool with a single geopolitical adversary, potentially overstating the tool's real-world impact and the clarity of its origins.