In een rapport dat Google op 30 oktober 2026 publiceerde, melden Google Threat Intelligence Group (GTIG) en Mandiant dat ze sinds eind augustus ARTEX, PentAGI en CAIRN tegenkwamen in incidentresponszaken. De frameworks automatiseerden delen van aanvallen, zoals verkenning en het testen van toegangsrechten. De waargenomen activiteit verliep snel, maar liet ook veel sporen na. Google Cloud
Welke taken de frameworks uitvoerden
GTIG en Mandiant beschrijven automatisering bij verschillende delen van een aanval: verkenning, het testen van rechten, privilege-escalatie, verplaatsing tussen systemen en de voorbereiding op gegevensdiefstal. Dat betekent niet dat elk framework al die stappen in iedere zaak uitvoerde. De onderliggende technieken waren bekend, zoals misbruik van inloggegevens en kwetsbare of niet bijgewerkte systemen; automatisering kan vooral het tempo verhogen waarmee acties elkaar opvolgen.
ARTEX is volgens Google geschreven in Go en heeft een webconsole op basis van Next.js en zes gespecialiseerde subagenten. PentAGI, ontwikkeld door VXControl, laat zijn hulpmiddelen draaien in afgeschermde Kali Linux-sandboxen en ondersteunt meer dan twaalf cloud- en lokale taalmodelbackends. GTIG en Mandiant noemen ook CAIRN, maar beschrijven de technische opzet daarvan niet nader.
Hoge snelheid, met zichtbare sporen
GTIG en Mandiant zagen ARTEX-acties in bursts van ongeveer 2 tot 25 seconden, met pauzes tussen fasen. In één geval registreerde een burst 27 gebeurtenissen in 23 seconden. Een afzonderlijke zaak rond Linux Weaver OA leverde 240 loggebeurtenissen op tijdens pogingen die gedeeltelijke commando-uitvoering en verkenning opleverden. GTIG en Mandiant typeren het huidige gebruik als vroeg, luidruchtig en relatief weinig geavanceerd.
Een ander cijfer gaat over een specifieke campagne, niet over aanvallen in het algemeen. Het Google-rapport haalt een bevinding van Wiz aan: vanaf het eerste gecompromitteerde account duurde het doorgaans ongeveer vier uur om diepere toegang tot systemen te krijgen; in één geval was dat 15 minuten.
Wiz zag probes bij softwareleveranciers
In een verslag dat Wiz Research op 22 oktober 2026 publiceerde over activiteit gedurende oktober, beschrijft het team herhaalde pogingen tegen IT- en softwareleveranciers. De aanvallen richtten zich onder meer op identiteitsdiensten van Okta, Entra en Cognito en op Microsoft 365-integraties. Wiz beschrijft geautomatiseerde verkenning van applicaties en pogingen rond inloggen, accountherstel en de scheiding tussen klantomgevingen. De meeste pogingen in de beschreven activiteit mislukten, aldus Wiz.
Dat detail maakt verschil: geautomatiseerde probes zijn niet hetzelfde als een geslaagde inbraak. De bevindingen beschrijven een specifieke leverancierscampagne; ze zeggen niet hoe vaak ARTEX-aanvallen in het algemeen slagen.
Vijf verdedigingslagen die Mandiant aanbeveelt
Mandiant adviseert vijf verdedigingslagen. De eerste beperkt waar aanvallers bij beheeromgevingen kunnen komen; de tweede verkleint de toegang die accounts en sleutels geven. De overige lagen richten zich op het terugdringen van aanvalspaden, het beschermen van applicaties en het herkennen van afwijkend gedrag.
| Verdedigingslaag | Praktische focus |
| Beheervlakken beschermen | Beperk toegang tot beheerinterfaces tot vertrouwde netwerken. |
| Identiteiten en sleutels beperken | Gebruik kortlopende inloggegevens en geef accounts alleen de benodigde rechten. |
| Configuraties harden en aanvalspaden verkleinen | Segmenteer systemen en beperk blootstelling van internetgerichte werklasten. |
| Applicaties beschermen | Beveilig functies met grote impact. |
| Gedrag en volume monitoren | Breng signalen uit identiteits-, beheer-, applicatie-, endpoint- en netwerklogs samen. |
Mandiant wijst erop dat losse acties, zoals aanmelden met een serviceaccount of een API-aanroep, legitiem kunnen lijken. De combinatie telt: volume, timing, herkomst en afwijkingen van het gebruikelijke gedrag van een account kunnen samen een bruikbaarder alarmsignaal vormen dan een losse toolnaam of een IP-adres.
