ARTEX Ferramenta de Pentest de IA Encontrada em Servidores Atacando Empresas Japonesas

Resumo

Os atacantes estão usando o ARTEX, uma ferramenta de teste de penetração de IA de código aberto desenvolvida na China, para automatizar ataques contra organizações no Japão e na Coreia do Sul. A estrutura utiliza Modelos de Linguagem de Grande Porte para realizar reconhecimento, sondagem e exploração, ajudando os atacantes a descobrir “vulnerabilidades ocultas” e evitar defesas tradicionais de WAF. As campanhas observadas parecem altamente automatizadas e focadas em indústrias específicas.

Investigação

Investigações realizadas pela GMO Cybersecurity, CrowdStrike e JPCERT/CC descobriram configurações de agentes de IA e históricos de sessão em infraestruturas controladas por atacantes. A análise forense revelou o uso do ARTEX, Claude Code e múltiplas conexões de API de LLM, incluindo DeepSeek, Zhipu AI e xAI. Prompts em chinês e logs de sessão confirmaram ainda mais que a IA generativa estava ativamente sendo usada para apoiar o processo de intrusão.

Mitigação

As organizações devem implementar um Bill of Materials de Software (SBOM) para manter uma visibilidade precisa sobre as versões de software e componentes implantados. As equipes de segurança devem ir além do patching baseado em versão e adotar políticas que priorizem atualizações imediatas para versões corrigidas após a divulgação de vulnerabilidades. Proteções de WAF também devem ser reforçadas com limitação de taxa vinculada a contas, sessões e chaves de API em vez de apenas endereços IP.

Resposta

Quando volumes anormalmente altos de solicitações automatizadas ou atividades de sondagem distribuídas forem detectados, os respondedores de incidentes devem investigar padrões de reconhecimento conduzidos por IA. As organizações devem revisar os modelos de autorização de API para garantir que a imposição ocorra no lado do servidor e auditar funções administrativas expostas. Se uma organização parceira na mesma indústria relatar um comprometimento, escanear proativamente APIs expostas e plataformas de terceiros em busca de fraquezas semelhantes.

Execução de Simulação

• Narrativa e Comandos do Ataque: Um adversário obteve acesso inicial a uma estação de trabalho corporativa japonesa. Para acelerar sua fase de reconhecimento e exploração, eles implantam a ferramenta de penetração ARTEX conduzida por IA. O atacante executa a ferramenta via linha de comando para iniciar uma fase de escaneamento automatizado contra a rede interna. O comando ARTEX.exe --scan --target 192.168.1.0/24 é usado, o que se espera acionar a regra de detecção devido à presença da string ‘ARTEX’ na telemetria de criação de processos.

• Script de Teste de Regressão:

  # Script de Simulação: Disparando a regra de detecção do ARTEX
  # Este script simula a execução da ferramenta ARTEX criando um executável fictício
  # e executando-o com o argumento de linha de comando direcionado.
  
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  
  # Criar um executável fictício (usando um wrapper simples em PowerShell para fins de simulação)
  # Em um cenário real, este seria o binário real do ARTEX.
  New-Item -Path $SimulatedToolPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Simulando execução da ferramenta ARTEX..." -ForegroundColor Cyan
  
  # Executar a 'ferramenta' com a string específica requerida pela lógica de detecção
  # Usamos cmd /c para garantir que a string da linha de comando seja capturada claramente nos logs
  Start-Process cmd.exe -ArgumentList "/c $SimulatedToolPath --scan --target 10.0.0.1" -Wait
  
  Write-Host "[+] Comando de simulação enviado. Verifique o SIEM para EventID 4688 contendo 'ARTEX'." -ForegroundColor Green

• Comandos de Limpeza:

  # Script de Limpeza: Remove o artefato simulado
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  if (Test-Path $SimulatedToolPath) {
      Remove-Item -Path $SimulatedToolPath -Force
      Write-Host "[+] Limpeza completa: $SimulatedToolPath removido." -ForegroundColor Yellow
  } else {
      Write-Host "[!] Limpeza ignorada: Artefato não encontrado." -ForegroundColor Red
  }