De FBI waarschuwt dat de AI-gestuurde penetratietesttool ARTEX wereldwijd wordt misbruikt voor geautomatiseerde cyberaanvallen op diverse sectoren.
De FBI waarschuwt dat hackers een AI-gestuurd penetratietestframework genaamd ARTEX gebruiken om cyberaanvallen te automatiseren tegen organisaties wereldwijd. Dit omvat onder meer een recente supply-chain aanval via ConnectWise die Microsoft 365-omgevingen van klanten heeft getroffen. In een FLASH advisory stelt de FBI dat meerdere dreigingsactoren het open-source framework sinds augustus 2026 inzetten om organisaties in de financiële sector, overheid, technologie, defensie, gezondheidszorg en andere branches te targeten.
Volgens de FBI vermindert ARTEX de tijd die nodig is om aanvalstechnieken te combineren aanzienlijk, waarbij sommige inbraken binnen drie uur van eerste targeting tot het verkrijgen van verhoogde privileges verlopen. Het framework stelt zelfs minder technisch onderlegde aanvallers in staat om complexe, multi-target operaties gelijktijdig uit te voeren, wat de snelheid en schaal van aanvallen sterk vergroot.
ARTEX is een autonoom penetratietestframework geschreven in Go, dat AI-agents gebruikt voor reconnaissance, het ontdekken van kwetsbaarheden, het exploiteren van systemen, privilege-escalatie en datadiefstal met minimale menselijke tussenkomst. Het maakt gebruik van externe grote taalmodellen zoals Anthropic Claude, OpenAI GPT en anderen om opdrachten van aanvallers om te zetten in acties uitgevoerd door gespecialiseerde AI-agents. Hierdoor kunnen meerdere organisaties tegelijk worden aangevallen.
De FBI benadrukt dat ARTEX vooral effectief is in het vinden van kwetsbaarheden in vaak over het hoofd geziene systemen, zoals partnerportalen, applicaties voor medewerkers, legacy-diensten en integraties van derden. Hoewel de geautomatiseerde aanvallen veel verdachte netwerkactiviteit genereren die beveiligingswaarschuwingen kan veroorzaken, verloopt het aanvalstempo zo snel dat verdedigers vaak te weinig tijd hebben om te reageren voordat systemen zijn gecompromitteerd.
ARTEX werd in juli 2026 door een ontwikkelaar met de naam Autumn-27 op GitHub gepubliceerd, maar de repository werd op 8 oktober verwijderd nadat misbruik door dreigingsactoren bekend werd. De FBI meldt echter dat het framework nog steeds beschikbaar is via community forks, gearchiveerde kopieën, lokale versies en een commerciële variant genaamd ARTEX PRO. Begin november waren er meer dan 1.600 publiekelijk toegankelijke ARTEX-consoles geïdentificeerd, met een vermoedelijk veel hoger totaal aantal implementaties.
De FBI publiceerde in haar 13 pagina’s tellende advisory onder meer indicatoren van compromittering (IOC’s) die verband houden met bekende ARTEX-campagnes, zoals IP-adressen, command-and-control infrastructuur en verdachte netwerkactiviteit. Daarnaast bracht onderzoeker MalwareMustDie een open-source detectiesignatuurpakket uit om aanvallen met ARTEX beter te kunnen herkennen. Dit pakket bevat regels en indicatoren voor diverse beveiligingsmonitoring- en detectietools, gericht op verdachte netwerkverzoeken, identiteitsmisbruik, cloudactiviteit, kwaadaardige bestanden en geautomatiseerde aanvalspatronen.
De FBI adviseert organisaties om internetgerichte applicaties goed te beveiligen, toegang tot cloudbeheerinterfaces te beperken, applicatiepermissies en authenticatielogs te controleren en rate limits in te stellen op gevoelige API’s. Verder wordt aangeraden om te letten op ongebruikelijke pieken in geautomatiseerde verzoeken, verdachte cloudactiviteiten, onverwachte wijzigingen in credentials of privileges en grote datatransfers. De bureau waarschuwt dat de genoemde IP-adressen in de IOC’s kunnen zijn gewijzigd sinds de aanvallen plaatsvonden.
