Інструмент ARTEX AI для пентестування виявлений на серверах, які атакують японські компанії

Резюме

Зловмисники використовують ARTEX, відкритий інструмент тестування на проникнення з AI агентами, розроблений у Китаї, для автоматизації атак на організації в Японії та Південній Кореї. Ця платформа використовує великі мовні моделі для проведення розвідки, зондування і експлуатації, допомагаючи зловмисникам виявити “тіньові уразливості” та уникнути традиційних захистів WAF. Спостережувані кампанії виглядають високозалученими та орієнтованими на певні галузі.

Розслідування

Розслідуваннями GMO Cybersecurity, CrowdStrike та JPCERT/CC було виявлено конфігурації AI агентів та історії сесій на інфраструктурі, контрольованій зловмисниками. Форензична експертиза показала використання ARTEX, Claude Code та численних підключень до LLM API, включаючи DeepSeek, Zhipu AI та xAI. Запити і журнали сесій на китайській мові ще більше підтвердили, що генеративний AI активно використовувався для підтримки процесу вторгнення.

Пом’якшення

Організації повинні втілювати Software Bill of Materials (SBOM) для підтримки точного спостереження за версіями програмного забезпечення та розгорнутими компонентами. Команди з кібербезпеки повинні перейти від виправлень, заснованих на версіях, до впровадження політик, які пріоритетизують негайні оновлення до виправлених версій після розкриття уразливостей. Захист WAF також слід посилити, обмежуючи швидкість, прив’язану до акаунтів, сесій і API ключів, а не лише до IP-адрес.

Відповідь

Коли виявлені незвично великі обсяги автоматизованих запитів або розподіленої діяльності зондування, інцидентні відповідачі повинні розслідувати паттерни розвідки, які ведені AI. Організації повинні переглянути моделі авторизації API, щоб забезпечити їх примусове застосування на серверній стороні і робити аудити відкритих адміністративних функцій. Якщо колега за галуззю повідомляє про компрометацію, необхідно проактивно сканувати відкриті API та сторонні платформи на наявність подібних слабкостей.

Виконання симуляції

• Наратив атаки та команди: Супротивник отримав початковий доступ до японської корпоративної робочої станції. Щоб пришвидшити фазу розвідки і експлуатації, вони розгортають інструмент тестування на проникнення з AI ARTEX. Зловмисник виконує інструмент через командний рядок для ініціювання автоматичної фази сканування внутрішньої мережі. Команда ARTEX.exe --scan --target 192.168.1.0/24 використовується і очікується спрацювання правила виявлення через присутність рядка ‘ARTEX’ в телеметрії створення процесу.

• Скрипт регресійного тесту:

  # Скрипт симуляції: Виклик правила виявлення ARTEX
  # Цей скрипт симулює виконання інструменту ARTEX шляхом створення фіктивного виконуваного файлу
  # та його запуск з цільовим параметром командного рядка.
  
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  
  # Створити фіктивний виконуваний файл (використовуючи просту оболонку PowerShell для цілей симуляції)
  # У реальному сценарії це був би фактичний бінарний файл ARTEX.
  New-Item -Path $SimulatedToolPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Симуляція виконання інструменту ARTEX..." -ForegroundColor Cyan
  
  # Запуск 'інструменту' зі специфічним рядком, необхідним для логіки виявлення
  # Ми використовуємо cmd /c, щоб забезпечити чітке зчитування рядка командного рядка в журналах
  Start-Process cmd.exe -ArgumentList "/c $SimulatedToolPath --scan --target 10.0.0.1" -Wait
  
  Write-Host "[+] Команда симуляції надіслана. Перевірте SIEM на наявність EventID 4688, що містить 'ARTEX'." -ForegroundColor Green

• Команди очищення:

  # Скрипт очищення: Видалення симульованого артефакту
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  if (Test-Path $SimulatedToolPath) {
      Remove-Item -Path $SimulatedToolPath -Force
      Write-Host "[+] Очищення завершено: $SimulatedToolPath видалено." -ForegroundColor Yellow
  } else {
      Write-Host "[!] Очищення пропущено: артефакт не знайдено." -ForegroundColor Red
  }