日本企業を攻撃するサーバーに発見されたARTEX AIペンテストツール

概要

攻撃者は、中国で開発されたオープンソースのエージェンティックAIペネトレーションテストツール、ARTEXを使用し、日本および韓国の組織に対する攻撃を自動化しています。このフレームワークは、大規模言語モデルを活用して、偵察、プロービング、およびエクスプロイトを実施し、攻撃者が「影の脆弱性」を発見し、従来のWAF防御を回避するのを助けています。観察されたキャンペーンは高度に自動化され、特定の業種に焦点を当てているようです。

調査

GMOサイバーセキュリティ、CrowdStrike、およびJPCERT/CCによる調査によって、攻撃者が管理するインフラストラクチャ上でAIエージェント構成およびセッション履歴が明らかになりました。法医学分析により、ARTEX、Claude Code、DeepSeek、Zhipu AI、およびxAIを含む複数のLLM API接続の使用が明らかになりました。中国語のプロンプトおよびセッションログは、生成AIが侵入プロセスを支援するために積極的に使用されていたことをさらに証明しました。

緩和策

組織は、ソフトウェアバイオビリティの正確な可視性を維持するために、ソフトウェア部材表（SBOM）を実装する必要があります。セキュリティチームは、バージョンベースのパッチ適用を超え、脆弱性が公開された後、修正されたリリースへの即時アップグレードを優先するポリシーを採用するべきです。また、WAF保護も、IPアドレス単独ではなく、アカウント、セッション、およびAPIキーに結びついたレートリミティングで強化されるべきです。

対応

異常に高いボリュームの自動化リクエストまたは分散型のプロービング活動が検出された場合、インシデントレスポンダーはAI駆動の偵察パターンについて調査する必要があります。組織は、API認証モデルを確認してサーバサイドでの施行を確実にし、公開された管理機能を監査する必要があります。同じ業界内の組織がセキュリティインシデントを報告した場合、晒されたAPIおよび第三者プラットフォームを類似の弱点のために積極的にスキャンするべきです。

シミュレーション実行

• 攻撃ゴナラティブ＆コマンド： 敵は日本の企業のワークステーションへの初期アクセスを取得しました。偵察とエクスプロイト段階を加速するため、ARTEX AI駆動のペネトレーションツールを展開します。攻撃者は、内部ネットワークに対する自動スキャンフェーズを開始するためにコマンドラインからツールを実行します。コマンド ARTEX.exe --scan --target 192.168.1.0/24 が使用され、プロセス作成テレメトリに「ARTEX」という文字列が存在するために検出ルールをトリガーすることが期待されます。

• 回帰テストスクリプト：

  # シミュレーションスクリプト：ARTEX検出規則の起動
  # このスクリプトは、ダミー実行可能ファイルを作成して
  # ターゲットのコマンドライン引数で実行することで、ARTEXツールの実行をシミュレートします。
  
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  
  # ダミー実行可能ファイルを作成する（シミュレーション目的での簡単なPowerShellラッパーを使用）
  # 実際のシナリオでは、これが実際のARTEXバイナリとなります。
  New-Item -Path $SimulatedToolPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] ARTEX ツールの実行をシミュレート中..." -ForegroundColor Cyan
  
  # 検出ロジックに必要な特定の文字列で「ツール」を実行します
  # cmd /c を使用して、コマンドライン文字列がログに明確に記録されるようにします
  Start-Process cmd.exe -ArgumentList "/c $SimulatedToolPath --scan --target 10.0.0.1" -Wait
  
  Write-Host "[+] シミュレーションコマンドが送信されました。EventID 4688 に 'ARTEX' を含むSIEMを確認してください。" -ForegroundColor Green

• クリーンアップコマンド：

  # クリーンアップスクリプト：シミュレートアーティファクトを削除します
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  if (Test-Path $SimulatedToolPath) {
      Remove-Item -Path $SimulatedToolPath -Force
      Write-Host "[+] クリーンアップ完了：$SimulatedToolPath が削除されました。" -ForegroundColor Yellow
  } else {
      Write-Host "[!] クリーンアップをスキップ：アーティファクトが見つかりません。" -ForegroundColor Red
  }