O FBI emitiu o alerta FLASH-20261113-001, advertindo que hackers estão usando o ARTEX, um framework de teste de intrusão (pentest) autônomo, para acelerar ciberataques em todo o mundo.
Publicado em 13 de novembro, o comunicado descreve operações observadas desde agosto de 2026, que abrangem reconhecimento, exploração, escalonamento de privilégios e exfiltração de dados.
Em alguns casos, as invasões passaram do alvo inicial ao acesso privilegiado em menos de três horas. As vítimas incluem os setores financeiro, governamental, de defesa, tecnologia, saúde, energia e telecomunicações, o que demonstra como a automação agêntica, baseada em agentes de inteligência artificial (IA), permite que operadores coordenem invasões complexas contra múltiplos alvos com pouca intervenção manual.
FBI alerta para o uso do framework de IA ARTEX por hackers
O FBI afirma que essa velocidade reduz drasticamente a janela de tempo que os defensores têm para investigar e conter atividades suspeitas. Escrito na linguagem Go, o ARTEX converte objetivos descritos em linguagem natural em comandos de máquina executados por agentes especializados.
Sua orquestração multiagente se conecta a modelos externos, incluindo Claude, GPT, DeepSeek, GLM, Grok e Kimi, em vez de incorporar um modelo próprio.
O comunicado afirma que modelos chineses predominam nas implantações controladas por atacantes, especialmente o DeepSeek Flash, citando custo, capacidade e limitações observáveis nas salvaguardas.
O desenvolvedor “Autumn-27” lançou o ARTEX em julho e removeu o repositório no GitHub em 8 de outubro, após denúncias de abuso. Bifurcações (forks), cópias arquivadas e a versão ARTEX PRO mantêm a disponibilidade da ferramenta. Pesquisadores identificaram mais de 1.600 consoles expostos publicamente no início de novembro.
O acesso inicial combina a exploração de aplicações voltadas ao público com o abuso de identidades confiáveis. As técnicas observadas incluem assertivas SAML (Linguagem de Marcação de Asserção de Segurança) sem assinatura, injeção de entidade externa XML (XXE), falsificação de requisição do lado do servidor (SSRF), injeção de template do lado do servidor (SSTI), injeção de SQL (linguagem de consulta a bancos de dados), referências diretas inseguras a objetos (IDOR), injeção de comandos e uploads anônimos.
Os agentes também se movimentam por meio de credenciais de fornecedores comprometidas e da federação confiável entre empresas (business-to-business). Após a entrada, implantam web shells em JSP (JavaServer Pages) e PHP (Hypertext Preprocessor), abusam das APIs (interfaces de programação de aplicações) administrativas Kudu, instalam WISP, vshell ou AdaptixC2 e adicionam credenciais a aplicações OAuth já existentes.
Essas atividades garantem persistência e ampliam o acesso por meio de permissões já atribuídas a aplicações e identidades na nuvem. O acesso a bancos de dados pode se converter em execução no sistema operacional por meio de envenenamento de logs do MySQL, permitindo que os atacantes coloquem web shells em diretórios de aplicações acessíveis.
O escalonamento inclui o lançamento de instâncias na nuvem com perfis IAM (gerenciamento de identidade e acesso) poderosos, a consulta a metadados da nuvem via XXE e a execução de DCSync para roubar a chave krbtgt do domínio. Os agentes enumeraram mais de 110.000 objetos do Active Directory, leram senhas LAPS (Solução de Senha de Administrador Local) e identificaram máquinas sem o CrowdStrike Falcon.
As tentativas de movimentação lateral usaram Pass-the-Ticket, WinRM (Gerenciamento Remoto do Windows), relay de Kerberos e Pass-the-Hash. A proteção de endpoints bloqueou as tentativas de Pass-the-Hash observadas.
Os agentes também executaram Kerberoasting para capturar tickets de serviço. A infraestrutura de comando e controle (C2) incorporou proxies residenciais, Tor, Chisel e SoftEther, enquanto os dados preparados eram movidos por endpoints rotativos do webhook.site.
Segundo as campanhas relatadas, foram roubados dados pessoais de aproximadamente 67.000 pessoas na Coreia do Sul. Além disso, o ConnectWise Cloud Backup foi comprometido, permitindo acesso a mais de 2.250 tenants downstream.
Os indicadores incluem o host ARTEX 38.244.50[.]120, os nós WISP 199.19.95[.]66 a 199.19.95[.]68 e o domínio de revenda xcai[.]pro.
O FBI recomenda inventariar sistemas periféricos expostos à internet, restringir os endpoints administrativos Kudu/SCM e de nuvem e aplicar o princípio do menor privilégio nas concessões de consentimento de aplicações.
Os defensores devem investigar o tráfego incomum de APIs de LLMs (modelos de linguagem de grande porte) junto a outros comportamentos suspeitos, monitorar a adição de credenciais no Entra e limitar a taxa de consultas sequenciais a portais.
Preserve as evidências do Entra, do Purview e do SIEM (gerenciamento de eventos e informações de segurança) sem atrasar a contenção urgente, e valide os indicadores de infraestrutura históricos com a telemetria atual antes de bloquear.
