¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
ARTEX suma desde el viernes 13 de noviembre un boletín FLASH del FBI con su nombre en el título: el FLASH-20261113-001. La agencia lo define como una plataforma abierta, movida por modelos de lenguaje y operada por agentes, que distintos grupos llevan usando desde agosto para correr intrusiones completas contra organizaciones de diez sectores, de los servicios financieros y el gobierno a la energía, la salud y las telecomunicaciones.
La cadena de ciberataques automatizados que describe el boletín va del reconocimiento inicial a la salida de los datos, con muy poca mano humana después de fijado el objetivo. Hay intrusiones que pasaron del primer sondeo al acceso privilegiado en menos de tres horas. El ataque hace ruido y dispara alertas, pero su velocidad deja a los defensores una ventana de reacción mínima antes de que el objetivo se cumpla.
Una tabla del boletín ordena las tácticas observadas por fases: escaneo activo y descubrimiento de credenciales en la nube al inicio; afirmaciones SAML sin firmar, fallos XXE e inyección SQL en la entrada; cascarones web JSP y PHP para quedarse; Kerberoasting y DCSync para subir privilegios; y movimiento lateral con pase de hash y de tique antes de preparar la salida de datos.
El motor no trae un modelo propio. El operador escribe la meta en lenguaje llano y ARTEX la reparte entre agentes especializados que ejecutan herramientas reales de ataque y deciden el paso siguiente con el modelo conectado: Claude, GPT, DeepSeek, GLM, Grok o Kimi.
En las consolas que los propios atacantes dejaron expuestas, los analistas vieron dominar los modelos chinos, con la familia DeepSeek Flash al frente. El boletín lo explica por su costo bajo y por la falta de barreras visibles cuando la tarea se presenta como una prueba de penetración autorizada.
La herramienta no nace con este aviso. Salió en GitHub en julio, su autor la retiró el 8 de octubre tras los reportes de abuso y aun así siguió circulando en copias archivadas, bifurcaciones y una versión comercial llamada ARTEX PRO. Las consolas de ARTEX expuestas en internet, contadas en 1.465 a principios de mes, ya pasan de 1.600 en el conteo que recoge el FBI.
Dos campañas con víctimas contadas
Primera campaña, la financiera: apunta a la banca de Corea del Sur y dejó datos personales de unas 67.000 personas fuera de las instituciones atacadas. Los operadores compraban su acceso a los modelos a revendedores, y uno de los indicadores que publica el boletín, el dominio xcai.pro, era la puerta de un revendedor de ese tipo.
El segundo caso es de cadena de suministro: el compromiso de ConnectWise Cloud Backup abrió el acceso a más de 2.250 entornos de clientes, el caso que Microsoft documentó el 21 de octubre como obra de un actor estatal. El boletín se apoya en once informes publicados entre octubre y noviembre, entre ellos el aviso de CERT-EU del 5 de noviembre tras detectar actividad parecida en instituciones europeas.
Lo que preocupa al FBI no es la fuerza bruta, es el descuido ajeno. ARTEX rinde mejor contra los sistemas periféricos que reciben menos vigilancia: portales de socios y proveedores, aplicaciones de empleados, servicios heredados e integraciones de terceros. Desde una pieza débil de esa periferia, los agentes mapean las relaciones de confianza y se mueven hacia la red principal.
Las defensas que pide el boletín
La primera recomendación ataca esa periferia: inventariar toda aplicación expuesta a internet, incluidas las de socios, las de empleados y los servicios viejos, y encerrar las interfaces de administración y publicación tras redes de confianza o accesos de confianza cero. El aviso nombra los extremos Kudu y SCM de Azure y pide apagar la autenticación básica de publicación donde no haga falta.
En la identidad, la orden es privilegio mínimo en los permisos de aplicaciones y en los consentimientos, vigilancia sobre credenciales nuevas y sobre la actividad rara de las cuentas de servicio, y revisión aparte de los inicios de sesión de esas cuentas. Quien tenga o haya tenido aplicaciones de ConnectWise autorizadas debe localizarlas por su identificador, no por el nombre, y revisar la actividad desde el 1 de octubre.
El boletín suma límites de velocidad y alertas de volumen en las interfaces de negocio, escaneo continuo de secretos incrustados en código y configuraciones con rotación inmediata de lo expuesto, y nada de errores detallados con rutas internas para usuarios sin sesión.
Y deja tres señales de caza: llamadas salientes a las interfaces de los modelos, enumeración secuencial a alta frecuencia contra los inicios de sesión y cascarones web en rutas inesperadas de las aplicaciones.
El documento, marcado TLP:CLEAR y de circulación libre, pide reportar a la oficina local del FBI o al centro de denuncias IC3 con artefactos concretos: registros de autenticación, actividad de aplicaciones y anomalías en el consumo de los modelos.
Queda un hueco declarado en el propio texto: no atribuye las campañas a ningún grupo con nombre propio, así que la autoría sigue repartida entre los informes citados y la agencia se queda con las tácticas, las señales y la lista de defensas.
Fuente: FBI — boletín FLASH-20261113-001
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
