Están utilizando ARTEX, una herramienta de IA de código abierto, para automatizar gran parte de las intrusiones en redes. Esta herramienta permite mapear redes de Windows, robar contraseñas de cuentas de servicio e intentar propagarse hacia los controladores de dominio en cuestión de segundos y con mínima intervención humana.

Utilizando una herramienta de IA de código abierto llamada ARTEX para ejecutar gran parte de una intrusión de red por su cuenta. La herramienta puede mapear una red de Windows, robar contraseñas de cuentas de servicio e intentar propagarse a los controladores de dominio con muy poca ayuda humana.

Hace esto en segundos, no en horas. ARTEX es una plataforma de pruebas de penetración y comando y control multi-agente escrita en Go. Los equipos de seguridad crearon este tipo de herramienta para realizar pruebas, pero los criminales y grupos sospechosos de estar vinculados a estados la han adoptado.

Su autor original retiró el código de GitHub en octubre de 2026 debido al abuso, pero aún se distribuyen copias a través de bifurcaciones (forks) de la comunidad, incluyendo ScopeWeaver y una versión de pago llamada ARTEX PRO.

Investigadores del Grupo de Inteligencia de Amenazas de Google Cloud y Mandiant identificaron la actividad durante el trabajo de respuesta a incidentes.

Han visto el uso de ARTEX desde finales de agosto de 2026. Las víctimas incluyen organizaciones gubernamentales, tecnológicas, químicas, manufactureras y de telecomunicaciones.

Microsoft también ha vinculado la herramienta a un grupo relacionado con China en una campaña contra inquilinos de Microsoft 365 que utilizó credenciales robadas de ConnectWise.

Usan agentes de IA de ARTEX

ARTEX divide el ataque en seis sub-agentes. Tú le das un objetivo y algunas credenciales robadas, y el framework convierte ese objetivo en comandos. En varios casos, los intrusos entregaron a ARTEX inicios de sesión válidos y le indicaron que llevara a cabo las etapas posteriores.

Una vez dentro, ARTEX ejecutó scripts de PowerShell contra un controlador de dominio y un servidor de federación. Estos scripts verificaron nombres de usuario, enumeraron cuentas de servicio administradas y revisaron las plantillas de los Servicios de Certificados de Active Directory.

También mapearon miles de cuentas de seguridad a través de bosques. En un caso, la herramienta extrajo más de 110,000 objetos de Active Directory y leyó el grupo de Administradores del Dominio.

El Kerberoasting fue un paso clave. ARTEX solicitó tickets de servicio para cuentas vinculadas a nombres de servicio, los cuales los atacantes pueden descifrar fuera de línea para recuperar contraseñas.

Este es el mismo truco básico visto en la técnica Ghost SPN Kerberoasting, pero aquí una máquina hizo el trabajo. Después de una pausa para el descifrado fuera de línea, la herramienta ejecutó scripts de DCSync y tomó la clave krbtgt del dominio, credenciales de sincronización de nube y hashes del controlador de dominio.

Robar estos hashes es peligroso porque puede llevar a la creación de tickets falsificados, como te explicamos en nuestro informe sobre cómo los atacantes suplantan a los controladores de dominio.

ARTEX también intentó moverse hacia los controladores de dominio con scripts de Pass-the-Ticket, WinRM, relevo de Kerberos y Pass-the-Hash. Falló en un caso debido a los límites de tokens de servicio de Windows, y la protección de endpoints bloqueó el resto antes de que los defensores cortaran el servidor.

Velocidad de máquina, rastros ruidosos y tendencia general

Google afirmó que la herramienta funciona a una velocidad que ningún humano podría igualar. Ráfagas individuales de actividad duraron entre 2 y 25 segundos, y un caso mostró 27 eventos en 23 segundos. Cuando un script era demasiado grande, ARTEX lo recortaba y lo relanzaba en unos 10 segundos.

Wiz rastrea una campaña de ARTEX que Google llama UNC7228, la cual se solapa con STORM-0940 de Microsoft. Ese actor a menudo pasó de su primera cuenta hackeada al acceso profundo al sistema en unas cuatro horas, y en una ocasión, en 15 minutos.

La herramienta también es descuidada. En un caso creó 240 eventos de registro mientras intentaba plantar web shells a través de archivos de registro de MySQL, y sus sub-agentes parecían sobrescribirse entre sí.

Google dice que ARTEX sacrifica el sigilo por la velocidad, lo que da a los defensores algo que detectar. La tendencia se está extendiendo también. Otro grupo utilizó agentes de IA para alcanzar el nivel de administrador de dominio, como se vio cuando los operadores del ransomware Aur0ra utilizaron agentes de Cursor.

Google indica que estas herramientas no cambian los métodos de ataque; solo reducen el tiempo necesario para encadenarlos. Su consejo es que aisles los sistemas de administración, uses credenciales de corta duración, limites el acceso, segmentes las redes y vigiles cualquier comportamiento extraño.

Google también advierte que los indicadores estáticos pasarán por alto gran parte de esta actividad, porque los atacantes utilizan cuentas válidas y herramientas de administración normales.