Docker remove imagens backdoor do ARTEX; instalações existentes seguem em risco
Imagens Docker trojanizadas do ARTEX, console de pentest movido a IA, escondiam um shell root no manipulador de login: comandos enviados pelo campo captcha do formulário rodavam antes da verificação de senha. Segundo BadByte, as imagens tomicdd/artex e congdonglinux/artex somaram 7.946 pulls antes da divulgação; o Docker as removeu em 5 de novembro, mas em 4 de novembro 46 dos 62 consoles expostos ainda entregavam a build comprometida e 637 repositórios GitHub seguiam apontando compose para elas. O CERT-In atribui a campanha ao ator Crafty Falcon, que mira o setor financeiro indiano; reconstrua de fonte confiável e trate hosts que rodaram as imagens como comprometidos.
O que aconteceu
Imagens Docker do ARTEX, ferramenta de testes de intrusão movida a IA, foram distribuídas com um backdoor que dava shell root sem senha a quem conhecesse o truque. As imagens somaram 7.946 downloads antes da divulgação; o Docker as removeu em 5 de novembro, mas cópias já baixadas ou em cache seguem comprometidas. O CERT-In atribui a campanha ao ator Crafty Falcon e alerta que o setor financeiro indiano está na mira.
Por que importa
Todo servidor que rodou a imagem comprometida deve ser tratado como invadido: comandos enviados pelo campo captcha do login eram executados como root antes da checagem de senha. Pesquisadores encontraram 62 consoles expostos à internet rodando a build backdoor, e 637 repositórios GitHub ainda apontavam arquivos compose para as imagens. O DailyDarkWeb afirma que o ARTEX foi usado em ataques recentes a bancos.
O que fazer
Reconstrua qualquer contêiner ARTEX a partir de fonte confiável; a remoção do Docker Hub não limpa instalações existentes. Isole e investigue todo host que executou as imagens tomicdd/artex ou congdonglinux/artex. Corrija repositórios e arquivos compose que ainda apontem para elas.
Para o time técnico
- Afetados
- ARTEX, ferramenta de IA para hacking; imagem Docker maliciosa com shell root escondido no manipulador de login · Imagens Docker tomicdd/artex e congdonglinux/artex. Em 4 de novembro, 46 dos 62 consoles expostos ainda entregavam a build comprometida; 637 repositórios GitHub apontavam compose para as imagens. Versões específicas não citadas.
- Exploração
- Backdoor relatado por BadByte, com shell root sem autenticação. DailyDarkWeb afirma que o ARTEX foi usado em ataques recentes a bancos. CERT-In descreve a atividade do ator Crafty Falcon contra o setor BFSI indiano como ativa e em andamento. 7.946 pulls antes da divulgação; ressalva de analista: 62 consoles expostos não provam 62 intrusões.
- Correção
- Docker removeu as duas imagens do Docker Hub em 5 de novembro; a remoção não limpa instalações existentes nem cópias em cache ou mirrors. Mitigação: reconstruir de fonte confiável e tratar hosts que rodaram as imagens como comprometidos. Nenhuma versão corrigida citada.
- Vetor
- Backdoor em imagem Docker do ARTEX: shell root escondido no manipulador de login. Comandos enviados pelo campo captcha do formulário de login eram executados antes da verificação de senha, sem autenticação. Explorável em qualquer host que rodou a imagem; 62 consoles encontrados expostos à internet.
- Mais detalhes
- Vetor: campo captcha do formulário de login executava comandos antes da checagem de senha. CERT-In rastreia o ator como Crafty Falcon, com uso de ferramentas ofensivas movidas a IA disponíveis publicamente contra o setor BFSI na Índia. Descoberta atribuída a BadByte. Linha do tempo: 7.946 pulls antes da divulgação; 46 de 62 consoles ainda serviam a build comprometida em 4 de novembro; Docker removeu as imagens em 5 de novembro.
Indicadores (IoCs)
- tomicdd/artex
- congdonglinux/artex
Linha do tempo
Imagens maliciosas foram retiradas do Docker Hub, mas 46 dos 62 consoles expostos ainda serviam a build comprometida em 4 de novembro.
CERT-In atribui a campanha ao ator Crafty Falcon e alerta que o setor financeiro indiano está na mira.
Incidente aberto.
Fontes 3 fontes
- @TheHackersNews @TheHackersNews
- CERT-In Flags AI-Driven Attacks as Backdoored ARTEX Exposes 62 Consoles to Root Access The Hacker News
- @DailyDarkWeb @DailyDarkWeb
