Параллельно создатели форков занялись маскировкой самой атакующей инфраструктуры, на по...
Параллельно создатели форков занялись маскировкой самой атакующей инфраструктуры, на появление которой во вторичной ветке enwjx/artex-ymh обратил внимание генеральный директор японской ИБ-компании S&J Нобуо Мива, после чего исходный код механизма детально разобрала редакция портала AI Heartland. В обычной версии ARTEX без шлюза поисковые роботы Shodan и FOFA при корневом GET-запросе к порту 8787 сразу получали веб-интерфейс на базе Next.js с китайским заголовком 自主渗透测试控制台, текстом страницы входа на китайском языке и характерным хешем иконки favicon, из-за чего открытые серверы легко выявлялись по этим индикаторам одним запросом (в частности, специалисты AhnLab ASEC подтвердили по веб-консоли 600 публичных IP-адресов с развёрнутыми экземплярами ARTEX, а к 14 октября общее число связанных с системой публичных IP-адресов достигло примерно 900). Авторы форка встроили в код (описанный в документации README-FORK.md) опциональный маскировочный шлюз server/gate.go, который при обращении без знания секретного пути входа побайтово отдаёт сканерам и сторонним посетителям стандартную страницу приветствия "Welcome to nginx!" и принудительно подставляет фальшивый HTTP-заголовок Server со значением nginx, не свойственный серверным приложениям на языке Go. Чтобы попасть в настоящую панель управления ARTEX, оператору необходимо обратиться по секретному пути из префикса /g- и 22 случайных символов (16 байт случайных данных) и ввести верную парольную фразу, после чего шлюз выдаёт cookie-файл с подписью HMAC для дальнейшего доступа к интерфейсу, тогда как при ошибке в парольной фразе, обращении к другому пути или частых повторных запросах сервер наряду с ограничением частоты обращений по IP-адресу посимвольно возвращает ту же самую страницу маскировки nginx, не давая ориентиров для перебора. В результате экземпляр ARTEX с включённым шлюзом выглядит для Shodan как рядовая стартовая страница nginx и не находится поиском по заголовку, иконке или тексту, однако, как отмечают Нобуо Мива и аналитики AI Heartland, сами замаскированные узлы всё ещё выдают особенности TLS-сертификатов и статистические характеристики случайных путей входа, а на стороне атакуемой жертвы активность инструмента оставляет следы в журналах доступа и при постэксплуатации с применением веб-шеллов, сетевых туннелей и утилит из штатного арсенала форка вроде mimikatz. ✋ @Russian_OSINT