Artex Yapay Zekâ Aracının 800’den Fazla Kopyası Açıkta

Artex adlı yapay zekâ destekli sızma testi aracının yüzlerce kurulumu, internette parola koruması olmadan erişilebilir durumda. Siber güvenlik şirketi Censys’in taramaları, 800’den fazla ayrı Artex örneğinin web üzerinden kimlik doğrulaması olmaksızın görüntülenebildiğini ortaya koydu. Bu durum yalnızca aracı kullanan kuruluşlar açısından değil, sistemlerin saldırı amacıyla kullanılma ihtimali nedeniyle olası hedefler için de risk oluşturuyor.

Artex, bilgisayar sistemlerindeki güvenlik açıklarını otonom biçimde araştırmak üzere tasarlanmış açık kaynaklı bir yazılım. Temmuz ayında kamuya açık olarak yayımlanmasının ardından araç, farklı siber saldırılarla ilişkilendirildi. Bununla birlikte internette erişilebilen her kurulumun saldırganlar tarafından işletildiği söylenemez. Censys’in baş güvenlik araştırmacısı Silas Cutler, örneklerin bir bölümünün yetkili güvenlik testlerinde kullanıldığını belirtiyor.

Korumasız kurulumlar neleri açığa çıkarıyor?

Artex’in internete açık olması, normalde yalnızca sistem sahibinin veya yetkili test ekibinin erişmesi gereken bileşenleri dışarıya gösterebiliyor. Censys’in aktardığına göre bazı kurulumlarda saldırı araçları ve hedef ağlarda kalıcı erişim sağlamaya yarayan implantlar da görülebiliyor. Böylece korumasız örnekler, saldırı yöntemleri ve kullanılan altyapı hakkında bilgi sızdırabiliyor.

Bir sızma testi aracının internete açık bırakılması, tek başına başarılı bir saldırı gerçekleştiği anlamına gelmiyor. Ancak parola gerektirmeyen erişim, yetkisiz kişilerin arayüzü incelemesini veya sistemdeki verilerden yararlanmasını kolaylaştırabilir. Aracın internetten erişilebilir olmasını gerektiren bir ihtiyaç bulunmadığına işaret eden Censys, yüzlerce kurulumun neden korumasız bırakıldığının net olmadığını belirtiyor.

Bu bulgu, güvenlik araçlarının yalnızca ne amaçla geliştirildiğine bakmanın yeterli olmadığını da gösteriyor. Yetkili testler için kullanılan bir yazılım, yanlış yapılandırıldığında sistem sahibinin faaliyetleri ve kullandığı altyapı hakkında dışarıya bilgi verebilir. İnternete açık bir yönetim arayüzü, aracı işleten kuruluşun kontrolü dışındaki kişilerin de bu bilgilere ulaşmasına kapı aralayabilir.

Güney Kore ve ConnectWise saldırılarıyla bağlantı

Artex, eylülde Güney Kore finans sektörünü hedef alan saldırılarla ilişkilendirildi. CrowdStrike, söz konusu faaliyetleri Artex kullanan Çince konuşan bir hackerla bağlantılı olarak değerlendirdi. Saldırganın kullandığı sistemlerden biri, açık dizin bırakılması nedeniyle dışarıdan incelenebilir durumdaydı. Censys’in bulgularına göre bu örnek aylar boyunca erişime açık kaldı.

İncelenen veriler yalnızca Güney Kore’deki bankalara yönelik faaliyetlerle sınırlı değildi. Ödeme ve oyun şirketlerine uzanan saldırı kayıtları da aynı sistemde yer aldı. Bu kayıtlar, tek bir açıkta kalan makinenin farklı hedeflere yönelik faaliyetler hakkında iz bırakabileceğini ortaya koyuyor. Bununla birlikte bu bağlantılar, internette bulunan tüm Artex örneklerinin aynı saldırganlarca kullanıldığı anlamına gelmiyor.

Artex’in adı ekim ayının başında ConnectWise’a yönelik saldırıda da geçti. Microsoft, Çin bağlantılı saldırganların bulut ortamlarında verileri bulunan binlerce kuruluşu izleyebildiğini ve müşteri bulutlarına erişerek verileri hızlı biçimde çaldığını bildirdi. Hızlı veri hırsızlığı, savunma ekiplerinin olayı fark edip müdahale etmesi için kalan süreyi kısalttı.

Basit parolalar saldırıların önünü açtı

İlişkilendirilen saldırıların çoğunda karmaşık, daha önce bilinmeyen güvenlik açıklarından yararlanılmadı. Zayıf parolaların veya bilinen parolaların denenmesi gibi temel yöntemler kullanıldı. Bu tablo, gelişmiş araçların kötü yapılandırılmış sistemler ve yetersiz kimlik bilgileriyle bir araya geldiğinde etkisini artırabildiğini gösteriyor. Güvenlik açığı aramak için tasarlanmış otonom yazılımlar, saldırganların elinde hedef belirleme ve sistemlere erişme sürecini de destekleyebilir.

Artex geliştiricilerinin yazılımı kapalı kaynaklı hâle getirmeyi planladığı bildiriliyor. Bununla birlikte aracın kodunun onlarca kopyasının kod paylaşım sitelerinde bulunmaya devam ettiği aktarılıyor. Dağıtım biçiminde yapılabilecek bir değişiklik, mevcut kopyaların veya daha önce yayımlanan kodun kullanımını kendiliğinden sona erdirmeyecek. Bu nedenle geliştiricilerin planı, hâlihazırda internete açık kurulumların oluşturduğu riski tek başına ortadan kaldırmıyor.

Güvenlik ekipleri için öncelik, yalnızca Artex’i tespit etmek değil; internete gereksiz erişimi kapatmak, güçlü kimlik doğrulama kullanmak ve dışarıya açık sistemleri düzenli olarak kontrol etmek. Artex örneği, meşru güvenlik testleri için geliştirilen araçların da korumasız bırakıldığında saldırı altyapısına ilişkin bilgileri açığa çıkarabileceğini gösteriyor. Özellikle yönetim panellerinin ve test ortamlarının erişimini sınırlamak, bu tür sistemlerin hem saldırıya uğrama hem de operasyonel bilgileri dışarı sızdırma riskini azaltabilir.