28 сентября 2026 года британская компания из сектора критической инфраструктуры столкнулась со сканированием своих сетевых ресурсов. Проверку вели с площадок, на которых открыт ARTEX. Так называется платформа с открытым кодом, которую её создатели описывают как автономную систему тестирования на проникновение на базе искусственного интеллекта. Говоря проще, чужой инструмент перебирал доступные наружу сервисы компании, чтобы понять, к чему можно подобраться. Ключевое слово здесь - автономность. Система сама перебирает варианты и ищет слабые места, а человек лишь просматривает результат.
Описание
Критическая инфраструктура - это энергетика, водоснабжение, связь, транспорт и другие системы, остановка которых бьёт по всей стране. Само сканирование ещё не означает, что в сеть проникли. Но именно с таких проверок обычно начинается подготовка к настоящей атаке.
Всего отслеживание выявило 65 уникальных адресов. Они разбросаны по 13 странам и 35 автономным системам. Автономная система - это крупный блок адресов, которым управляет один оператор связи. Больше всего адресов приходится на США - 29. В Китае зафиксировали 12, в Гонконге - 7. Остальные разошлись по Сингапуру, Японии, Франции, Германии, Литве, Канаде, Бразилии, Индии, Нидерландам и Венесуэле. Самые плотные группы собрались в двух соседних блоках: восемь адресов в одном и шесть в другом. Оба закреплены за одним оператором с метками Cogent. Ещё восемь адресов в Китае связаны с Tencent.
Такое распределение типично для аренды чужих мощностей. Злоумышленники берут внаём серверы в разных странах, чтобы усложнить поиск исполнителя. Хостинг-провайдеры при этом ни при чём: их площадками пользуются самые разные клиенты. Подсчёт адресов - это снимок на конкретную дату, а не полная картина. Инфраструктура живёт: машины арендуют на недели, потом меняют.
По данным Bridewell BCON, на части этих адресов открыты не только ARTEX. Там же работают дополнительные сервисы наступательного профиля. Среди них ToShell - лёгкая платформа для удалённого управления чужими машинами. CyberStrikeAI - открытая среда тестирования, где искусственный интеллект координирует работу набора инструментов. Cobalt Strike - коммерческий продукт для имитации действий атакующих, который давно применяют и в реальных вторжениях. Gophish - открытая платформа для учебного фишинга. Adaptix - расширяемая среда для закрепления в системе и работы с удалёнными сессиями. Встречается и страница отчёта Strix - открытого ИИ-инструмента для поиска слабых мест в приложениях.
Не все находки равнозначны. Сертификат с меткой Gophish и страница отчёта Strix сами по себе не доказывают, что эти программы запущены на узле. Соседство сервисов на одних и тех же адресах тоже не говорит, что за ними стоит один оператор. Картина показывает другое. Средства тестирования с искусственным интеллектом оказались рядом с давно известными наступательными инструментами на одной интернет-инфраструктуре. Подтверждения, что сканирование вёл именно ARTEX, в отчёте нет.
Для защитников критической инфраструктуры главная ценность таких наблюдений - перечень адресов для проверки. Полезно сопоставить с ним журналы подключений. Разобраться, какие сервисы оказались достижимы. Понять, были ли попытки эксплуатации и дошло ли дело до входа в систему или запуска кода. Отделить рутинное прощупывание от активности, требующей реакции, помогает приоритет по системам, которые поддерживают жизненно важные сервисы.
Дополнительные сервисы дают контекст для таких проверок. Часть адресов, где нашли ARTEX, открывает интерфейсы, связанные с фишингом, удалённым управлением и действиями после проникновения. Это делает их удобными зацепками при сопоставлении сетевых и оконечных данных. Оснований считать, что все сервисы принадлежат одному хозяину, пока нет.
Практическая сторона остаётся привычной. Обновляйте компоненты, которые смотрят в интернет. Проверяйте конфигурации на лишние открытые сервисы и убирайте всё ненужное. Включайте двухфакторную аутентификацию для административного доступа. Следите за подключениями к незнакомым адресам и за запуском необычных процессов на рабочих станциях.
Тему ARTEX ранее разбирали и во внешних публикациях, в частности в Team Cymru S2. Отчёт Bridewell BCON не доказывает роста популярности ИИ-инструментов. Он не подтверждает, что атаки стали эффективнее или что из цепочки исчез человек. Речь о снимке состояния инфраструктуры на конкретную дату. Отслеживать такие платформы разумно по тем же признакам, что и остальные угрозы: откуда идут подключения, какие запросы доходят до открытых сервисов, что запускается на конечных устройствах и куда уходят следующие соединения.
Отдельная сложность для обороняющейся стороны - размытая граница между законным тестированием и подготовкой атаки. Тот же инструмент с тем же набором функций используют и нанятые специалисты по проверке защищённости, и злоумышленники. Различить их можно по договору, по времени работ и по тому, предупредили ли вас заранее. Если предупреждения не было, а адреса сканирования совпадают с известными площадками, разговор идёт уже не о плановой проверке.
Ещё один момент касается скорости. Автономные системы перебирают варианты без перерывов на сон и без усталости. Они находят открытый сервис, пробуют десятки известных приёмов и переходят к следующему адресу. Для компании это выглядит как ровный фон подозрительных запросов, который легко пропустить в общем потоке. Поэтому важна не разовая проверка журналов, а постоянный контроль за необычными подключениями и своевременное закрытие всего, что не должно быть видно из интернета.
У британских операторов критической инфраструктуры появился ещё один повод пересмотреть список сервисов, доступных снаружи.
Индикаторы компрометации
