Veille menaces / Attaque
ARTEX : une image Docker copiée ajoute une porte dérobée root à la console de pentest IA
Après le passage de ARTEX en source fermée par son auteur le 8 octobre, une copie du dépôt a modifié une ligne de docker-compose.yml pour tirer l'image tomicdd/artex. Selon Badbyte, cette image exécute des commandes en root sur une simple requête de connexion non authentifiée. Il a compté 62 consoles exposées sur Internet qui la servent. Aucune attaque via cette porte dérobée n'est signalée.
- Secteur
- Tech et SaaS
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- ARTEX, Docker Hub
- Comment c'est arrivé
- L'auteur d'origine a supprimé le dépôt GitHub le 8 octobre. Une copie sous le compte trhhubsd a modifié une ligne de docker-compose.yml pour tirer tomicdd/artex depuis Docker Hub. Selon Badbyte, l'image ajoute une fonction qui exécute en root, avant toute vérification d'identifiants, une commande envoyée dans le champ captcha de la requête de connexion. Le code source sur GitHub ne contient pas la modification. L'identité des titulaires des comptes tomicdd et trhhubsd n'est pas publique.[1][2] Vérifié le 8 nov. 2026
- Ce qui a été volé
- Aucun vol n'est signalé. Selon Badbyte, une console contient des clés d'API, des données de cibles et de périmètre, des identifiants collectés, des résultats et du trafic intercepté, tous accessibles à celui qui détient la porte dérobée.[1] Vérifié le 8 nov. 2026
- Qui est touché
- Badbyte a vu 62 consoles exposées sur Internet servir la version piégée entre le 2 et le 4 novembre, sur 1 645 consoles ARTEX en ligne, et parle d'un plancher. Il compte environ 9 000 téléchargements de l'image et 637 dépôts GitHub qui la référencent encore. L'identité des exploitants de ces consoles n'est pas connue, et Badbyte ne signale aucune attaque confirmée via la porte dérobée. Badbyte indique que Docker a retiré tomicdd/artex le 5 novembre à la demande des chercheurs ; les copies déjà téléchargées restent piégées.[1][2] Vérifié le 8 nov. 2026
- Acteur
- Non attribué. Inconnu. Badbyte ne dit pas qui gère les comptes tomicdd et trhhubsd ni s'il s'agit de la même personne.
Chronologie
- L'auteur d'origine de ARTEX annonce le passage en source fermée et supprime le dépôt. Le même jour, le compte Docker Hub tomicdd est créé et publie une image ARTEX, et le compte trhhubsd met en ligne une copie du code source. [1]
- La première console piégée est observée en ligne. [1][2]
- Badbyte publie ses constats : 62 consoles exposées sur Internet servent la version piégée entre le 2 et le 4 novembre. [1]
- The Hacker News rapporte environ 9 000 téléchargements de l'image. Badbyte indique que Docker retire tomicdd/artex le même jour. [1][2]