Microsoft conferma l'uso del tool autonomo ARTEX da parte di attori legati al governo cinese
25 ottobre 2026 · 2 min di lettura
Microsoft ha annunciato il 21 ottobre che attori informatici in coordinamento con il governo cinese stanno impiegando il tool di penetrazione autonomo ARTEX per automatizzare attacchi informatici. L'azienda ha specificato che l'abuso di questa tecnologia è stato confermato anche in Corea del Sud e in Giappone. Il sistema, sviluppato da un autore di lingua cinese e reso disponibile come codice aperto su GitHub, consente di eseguire test di intrusione senza intervento umano una volta forniti gli obiettivi e i limiti operativi.
L'analisi condotta dal team di sicurezza ASEC di AhnLab ha rivelato che ARTEX opera attraverso tre agenti distinti: uno per la definizione degli obiettivi, uno per la pianificazione dei compiti e uno per l'esecuzione degli strumenti. Il piano di azione viene aggiornato in base ai risultati delle operazioni precedenti. In un ambiente isolato, i ricercatori hanno osservato che semplici istruzioni testuali hanno permesso al sistema di sfruttare vulnerabilità note e configurazioni errate per ottenere l'accesso iniziale, eseguire comandi remoti e muoversi all'interno delle reti interne.
L'autore del progetto ha rilasciato una dichiarazione l'8 ottobre, affermando che il software era stato creato esclusivamente per scopi di ricerca accademica e per assistere nei test di sicurezza autorizzati. L'individuo ha negato qualsiasi coinvolgimento nelle attività malevole osservate e ha interrotto l'aggiornamento e la pubblicazione del progetto. Nonostante la rimozione del repository originale da GitHub, AhnLab ha segnalato il 15 ottobre la diffusione di versioni modificate del codice, indicando che il tool è stato riutilizzato e ridistribuito da più operatori.
Lo studio ha identificato 600 indirizzi IP pubblici associati all'esecuzione di ARTEX, con una concentrazione significativa negli Stati Uniti, in Cina, a Hong Kong e a Singapore. Alcuni di questi host presentavano tracce di attività di attacco. AhnLab ha avvertito che la classificazione di tutti gli indirizzi IP correlati come minacce non è fattibile, ma ha sottolineato che l'uso di intelligenza artificiale per gli attacchi non modifica i principi fondamentali della difesa. Le raccomandazioni includono l'identificazione dei servizi esposti, la minimizzazione dei privilegi degli account e l'uso di strumenti di rilevamento avanzato per monitorare gli spostamenti interni.