일본 기업을 공격하는 서버에서 발견된 ARTEX AI 펜테스트 도구

요약

공격자들이 중국에서 개발된 오픈 소스 AI 침투 테스트 도구인 ARTEX를 일본과 한국의 조직에 대한 공격을 자동화하기 위해 사용하고 있습니다. 이 프레임워크는 대형 언어 모델을 활용하여 정보 수집, 탐지, 및 취약점 악용을 수행하며, 공격자들이 ‘숨겨진 취약점’을 찾아내고 기존의 WAF 방어를 회피할 수 있도록 돕습니다. 관찰된 캠페인들은 고도로 자동화되어 있으며 특정 산업에 초점을 맞추고 있는 것으로 보입니다.

조사

GMO 사이버 보안, CrowdStrike, JPCERT/CC의 조사는 공격자가 통제하는 인프라에서 AI 에이전트 구성 및 세션 이력을 발견했습니다. 포렌식 분석을 통해 ARTEX, Claude 코드, DeepSeek, 지푸 AI, xAI와 같은 여러 LLM API 연결이 사용된 것으로 나타났습니다. 중국어로 된 프롬프트와 세션 로그는 생성적 AI가 침입 프로세스를 지원하는 데 적극적으로 사용되었음을 추가로 확인했습니다.

완화

조직은 소프트웨어 구성 명세서 (SBOM)를 구현하여 소프트웨어 버전 및 배포된 구성 요소에 대한 정확한 가시성을 유지해야 합니다. 보안 팀은 버전 기반 패치 배포를 넘어선 정책을 채택하고 취약점이 공개된 후 즉시 수정 릴리스로 업그레이드를 우선시해야 합니다. WAF 보호는 IP 주소에만 의존하지 않고 계정, 세션 및 API 키에 연결된 비율 제한으로 강화되어야 합니다.

대응

비정상적으로 높은 양의 자동화된 요청이나 분산 탐침 활동이 감지되면, 사건 대응자는 AI 기반의 정찰 패턴을 조사해야 합니다. 조직은 API 인증 모델을 검토하여 서버 측에서 집행이 이루어지도록 보장하고 노출된 관리 기능을 감사해야 합니다. 동일 산업 내의 동료 조직이 손상 보고를 할 경우, 노출된 API와 서드파티 플랫폼에서 유사한 취약점을 능동적으로 스캔해야 합니다.

시뮬레이션 실행

• 공격 내러티브 & 명령: 적이 일본 기업 워크스테이션에 초기 액세스를 확보했습니다. 정보 수집 및 취약점 악용 단계의 가속화를 위해, ARTEX AI 기반 침투 도구를 배포합니다. 공격자는 명령 줄을 통해 도구를 실행하여 내부 네트워크에 대한 자동화된 스캔 단계를 시작합니다. 명령어는 ARTEX.exe --scan --target 192.168.1.0/24 사용됩니다. 이는 프로세스 생성 텔레메트리에서 ‘ARTEX’ 문자열의 존재로 인해 탐지 규칙을 트리거할 것으로 예상됩니다.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: ARTEX 탐지 규칙 트리거
  # 이 스크립트는 더미 실행 파일을 만들고
  # 타겟 명령줄 인수와 함께 실행하여 ARTEX 도구 실행을 시뮬레이션합니다.
  
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  
  # 더미 실행 파일 생성 (시뮬레이션 용도로 간단한 PowerShell 래퍼 사용)
  # 실제 상황에서는 실제 ARTEX 바이너리가 사용됩니다.
  New-Item -Path $SimulatedToolPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] ARTEX 도구 실행 시뮬레이션..." -ForegroundColor Cyan
  
  # 탐지 논리에 필요한 특정 문자열로 '도구' 실행
  # cmd /c를 사용하여 명령 줄 문자열이 로그에 명확하게 캡처되도록 합니다.
  Start-Process cmd.exe -ArgumentList "/c $SimulatedToolPath --scan --target 10.0.0.1" -Wait
  
  Write-Host "[+] 시뮬레이션 명령 전송됨. SIEM에서 'ARTEX'가 포함된 EventID 4688을 확인하십시오." -ForegroundColor Green

• 정리 명령:

  # 정리 스크립트: 시뮬레이션 아티팩트 제거
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  if (Test-Path $SimulatedToolPath) {
      Remove-Item -Path $SimulatedToolPath -Force
      Write-Host "[+] 정리 완료: $SimulatedToolPath 제거됨." -ForegroundColor Yellow
  } else {
      Write-Host "[!] 정리 건너뜀: 아티팩트 찾지 못함." -ForegroundColor Red
  }