GitHub сканують за допомогою ШІ-інструменту Artex для викрадення секретів

Зловмисники застосовують пентест-інструмент Artex та інші агентні ШІ-фреймворки для масового сканування публічних репозиторіїв GitHub на наявність відкритих облікових даних і ключів API. Про це йдеться у звіті команди Microsoft Threat Intelligence.

За даними дослідників, кіберзлочинці застосовують агентні інструменти для сканування секретів на GitHub щонайменше із серпня. Під час запитів вони шукають назви цільових організацій, ключові слова для секретів, терміни, пов'язані з хмарними сервісами та сторонніми постачальниками ШІ-послуг. Отримані дані згодом використовуються для вторинних атак на інфраструктуру жертв.

Атаки на хмарні сервіси

Починаючи з 28 жовтня, аналітики Microsoft виявили єдину IP-адресу, з якої зловмисники входили до сторонніх тенантів за допомогою скомпрометованих, але дійсних облікових даних застосунків. В одному з інцидентів хакери викрали дані та провели ексфільтрацію з Azure Key Vaults і Storage Accounts, а також зловживали ресурсами Azure AI.

Крім того, зафіксовано спроби викрадення автентифікаційних токенів App Service та виконання вбудованих shell-команд у полі user agent для експлуатації вразливостей. Зазначена IP-адреса збігається з кампанією, описаною компанією Todyl: у межах тих атак хакери з викраденими секретами Entra ID авторизувалися в середовищах Microsoft 365 та Azure у кількох керованих сервіс-провайдерів (MSP).

Використання Artex в інших кампаніях

Artex традиційно призначений для тестування на проникнення та виявлення вразливостей у внутрішньому IT-середовищі, однак зловмисники адаптували його для автоматизації нападів.

Раніше Artex використовувався угрупованням Storm-0940, пов'язаним із Китаєм, під час атак на ConnectWise Cloud Backup і тенанти Microsoft 365, а також на банки Південної Кореї та десятки японських підприємств. За окремим звітом CrowdStrike, цей інструмент залучався до низки шпигунських операцій, а із середини жовтня цілями стали понад 200 організацій у всьому світі.

Наразі не встановлено, хто саме відповідальний за сканування репозиторіїв GitHub. У Microsoft підкреслюють: якщо компанія виявила свої секрети у відкритому репозиторії, їх слід одразу вважати скомпрометованими.