Microsoft varuje pred zneužívaním ARTEX v GitHube
Microsoft pozoroval aktérov hrozieb, ktorí pomocou agentického nástroja ARTEX vyhľadávali verejne dostupné poverenia v GitHub repozitároch a následne ich zneužívali proti službám Entra ID, Azure a Microsoft 365.
ARTEX v GitHube používajú aktéri hrozieb na vyhľadávanie verejne vystavených prihlasovacích údajov, aplikačných tajomstiev a API kľúčov, upozornil 5. novembra Microsoft. Jeho bezpečnostný tím od augusta pozoruje aktérov, ktorí pomocou tohto agentického nástroja hľadajú uniknuté poverenia v GitHub repozitároch.
Nejde o novú zraniteľnosť GitHubu, Azure ani Microsoft Entra ID. Microsoft však opisuje praktické zrýchlenie známeho postupu: aktéri môžu automatizovať hľadanie tajomstiev v zdrojových kódoch, overovanie ich použiteľnosti a následné operácie v cloudovom prostredí s menším podielom manuálnej práce.
ARTEX v GitHube a následný prístup do cloudu
Microsoft zaznamenal zneužitie platných aplikačných poverení proti tenantom Microsoft Entra ID a zdrojom Azure a Microsoft 365. Pozorované aktivity podľa firmy siahajú najmenej do 28. októbra 2026.
V niektorých prípadoch podľa Microsoftu aktéri po získaní OAuth aplikácie prehľadávali cloudové zdroje a exfiltrovali tajomstvá z Azure Key Vault. V jednom prípade podľa Microsoftu prešli od hľadania tajomstva na GitHube k exfiltrácii dát z Key Vault za päť minút.
Riziko sa týka najmä organizácií s verejne vystavenými OAuth klientskymi tajomstvami, API kľúčmi alebo inými povereniami v zdrojových kódoch a histórii repozitárov.
Microsoft zverejnil indikátor a kroky pre správcov
Microsoft zverejnil indikátor 199.19.77[.]84 a odporúča organizáciám tento indikátor blokovať, rotovať potenciálne zasiahnuté poverenia, zrušiť existujúce relácie a preveriť prístupy kompromitovaných aplikácií.
- vyhľadať vystavené tajomstvá v repozitároch vrátane ich histórie,
- nahradiť poverenia, pri ktorých existuje podozrenie na únik,
- zrušiť aktívne relácie súvisiace s dotknutými identitami alebo aplikáciami,
- skontrolovať oprávnenia OAuth aplikácií a ich prístup ku cloudovým zdrojom,
- preveriť komunikáciu a aktivity spojené so zverejneným indikátorom.
Microsoft nezverejnil počet zasiahnutých organizácií ani rozsah exfiltrovaných dát. Za konkrétnou aktivitou opísanou v upozornení nebolo verejne menované žiadne aktérske zoskupenie.
Širšie používanie agentických nástrojov
Google Threat Intelligence nezávisle potvrdil širšie používanie ARTEX a ďalších agentických penetračných nástrojov pri reálnych incidentoch od konca augusta 2026.
Censys k 4. novembru evidoval 1 465 verejne dostupných konzol ARTEX. Samotná verejná dostupnosť nepreukazuje škodlivé použitie; nástroj môže byť využívaný aj pri autorizovanom testovaní.
Ďalší vývoj ukáže, či Microsoft alebo iné bezpečnostné firmy zverejnia atribúciu, počet obetí alebo ďalšie indikátory kompromitácie. Dôležité budú aj nové odporúčania GitHubu, Microsoft Entra ID a Azure k detekcii uniknutých aplikačných poverení.
Zdroje
- Microsoft Security Blog – Primárne zistenia Microsoftu o vyhľadávaní uniknutých tajomstiev cez ARTEX, následnom zneužití OAuth aplikácií, indikátoroch a mitigáciách.
- Google Cloud Threat Intelligence – Nezávislé potvrdenie, že ARTEX a podobné agentické nástroje boli pozorované pri incidentoch vrátane prieskumu, laterálneho pohybu a prípravy exfiltrácie.
- Censys – Kontext o rozšírení verejne dostupných konzol ARTEX a upozornenie, že vystavená inštancia sama osebe nedokazuje škodlivú aktivitu.
Overené a aktualizované: 06. 11. 2026 06:20
