🔍 Contexte

Publié le 5 novembre 2026 par Silas Cutler (Censys ARC), cet article analyse ARTEX, un framework de test de pénétration autonome piloté par LLM, publié sur GitHub en juillet 2026 sous licence AGPL-3.0 par le développeur Autumn-27, également auteur de ScopeSentry.

🛠️ Description technique d’ARTEX

ARTEX est écrit en Go avec une interface web Next.js, une base de données PostgreSQL, et intègre :

  • Un agent Planner qui décompose les objectifs en « intents » d’attaque
  • Des agents Worker qui exécutent les outils (nmap, mitmproxy, etc.)
  • Un graphe d’assets et un graphe d’exploration
  • Compatibilité avec Anthropic, OpenAI ou tout endpoint compatible OpenAI
  • Intégration native avec ScopeSentry pour la découverte d’assets

Microsoft décrit ARTEX comme capable d’opérer « de la reconnaissance à l’exfiltration de données » avec une intervention humaine minimale.

🎯 Campagnes malveillantes documentées

1. Institutions financières sud-coréennes (CrowdStrike, 7 octobre 2026)

  • Acteur non attribué, évalué avec confiance modérée comme sinophone à motivation financière
  • Ciblage d’un service de demande de prêt et d’un système mobile employé dans deux banques
  • ARTEX opéré depuis 38.244.50[.]120 avec DeepSeek v4.1-flash via un revendeur API (xcai[.]pro)
  • Sessions Claude Code adossées à GLM et Grok
  • Exfiltration de données confirmée
  • Répertoires ouverts exposant un dossier .claude, des prompts, historiques de sessions et fichiers de configuration

2. Storm-0940 et ConnectWise (Microsoft, 21 octobre 2026)

  • Attribution à Storm-0940, acteur aligné avec l’État chinois, actif depuis 2021
  • Compromission de la supply chain ConnectWise Cloud Backup
  • Utilisation d’ARTEX pour automatiser le scanning, le password spraying et l’abus d’applications OAuth
  • Plus de 2 250 tenants ciblés, pic à 2 900 tentatives par minute
  • Certaines victimes ont subi un accès cloud privilégié en moins de 3 heures

📊 Exposition globale observée par Censys

Au 3 novembre 2026, 1 465 hôtes exposent une console ARTEX :

  • Port le plus commun : 8787 (défaut ARTEX)
  • Top pays : États-Unis (726), Hong Kong (387), Chine (177), Japon (51), Singapour (38), Corée du Sud (21)
  • ~650 hôtes concentrés dans deux blocs d’hébergement identiques (PEG Tech AS54600 : 493 hôtes ; Yancy Limited AS138415 : 157 hôtes)
  • 155 hôtes (10,6%) co-hébergent d’autres menaces détectées : CyberStrikeAI (70), Vshell, Cobalt Strike, Adaptix C2, PentAGI, HexStrike AI, RedAmon
  • 43 hôtes font tourner des passerelles LLM auto-hébergées : CLIProxyAPI (19), New API (18)
  • 32 répertoires ouverts exposent des kits post-exploitation, stagers, implants et outils de mouvement latéral

🔎 Type d’article

Article de publication de recherche produit par Censys ARC, combinant analyse technique du framework ARTEX, mesure de son exposition globale, corrélation avec des rapports d’attribution tiers (CrowdStrike, Microsoft) et fourniture d’indicateurs de compromission exploitables.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1595 — Active Scanning (Reconnaissance)
  • T1110.003 — Brute Force: Password Spraying (Credential Access)
  • T1550.001 — Use Alternate Authentication Material: Application Access Token (Defense Evasion)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1557 — Adversary-in-the-Middle (Collection)
  • T1021.002 — Remote Services: SMB/Windows Admin Shares (Lateral Movement)
  • T1078 — Valid Accounts (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ARTEX (framework)
  • ScopeSentry (tool)
  • Cobalt Strike (framework)
  • Vshell (rat)
  • Adaptix C2 (framework)
  • CyberStrikeAI (framework)
  • PentAGI (framework)
  • HexStrike AI (framework)
  • RedAmon (framework)
  • FRP (tool)
  • NPS (tool)
  • Gophish (tool)
  • mitmproxy (tool)
  • GodPotato (tool)
  • CLIProxyAPI (tool)
  • New API (tool)
  • ARL (Asset Reconnaissance Lighthouse) (tool)
  • ScopeWeaver (framework)

🟢 Indice de vérification factuelle : 95/100 (haute)

  • ✅ censys.com — source reconnue (liste interne) (20pts)
  • ✅ 12836 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 47 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 4/4 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 9 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Storm-0940 (5pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 38.244.50.120 (ip) → VT (13/92 détections)
  • 101.53.80.20 (ip) → VT (6/92 détections)
  • 205.214.59.31 (ip) → VT (11/92 détections)
  • xcai.pro (domain) → VT (8/92 détections)

🔗 Source originale : https://censys.com/blog/artex-agentic-asbestos/?utm_source=substack&utm_medium=email#article