Storm-0940 amplía ataques ARTEX a proveedores de TI y software

Resumen

Un actor de amenaza alineado con China, rastreado como Storm-0940, está utilizando ARTEX, un agente autónomo de pruebas de penetración con IA, para atacar a proveedores de TI y software. Los ataques se centran en proveedores de identidad como Okta, Entra y Cognito para identificar debilidades de autenticación y acceder a los datos de los clientes. El actor muestra un comportamiento altamente automatizado y adaptable, que incluye rotación de IP y cambios frecuentes de agente de usuario para evadir la detección.

Investigación

Wiz Research identificó la actividad a través del análisis de registros de acceso HTTP, telemetría del proveedor de identidad de AWS Cognito, Entra y Okta, y artefactos relacionados con ARTEX. La investigación descubrió un libro de jugadas repetible que involucra el mapeo de aplicaciones a través de mapas de origen, sondeo de autenticación y abuso de flujos de recuperación de cuentas. La campaña fue vinculada a actividad reciente en la cadena de suministro y dirigió su objetivo a múltiples sectores de software en todo el mundo.

Mitigación

Los defensores deben imponer un estricto límite de tasa en los puntos finales de autenticación y recuperación de cuentas. Fortalecer las configuraciones del proveedor de identidad, particularmente los flujos OAuth y la validación JWT, es crítico para reducir la exposición. Las organizaciones también deberían monitorear picos inusuales en eventos de acceso denegado y patrones recurrentes asociados con el reconocimiento automatizado.

Respuesta

Cuando se detecte esta actividad, los equipos de seguridad deben investigar inmediatamente ráfagas de inicios de sesión fallidos y volúmenes anormales de eventos de acceso denegado. Correlacionar la telemetría del proveedor de identidad con los registros del servidor web para identificar el comportamiento de reconocimiento automatizado. Aplicar un bloqueo rápido de IP donde sea apropiado y monitorear intentos de seguimiento provenientes de nuevas infraestructuras o agentes de usuario diversos.

Agregar detalles de respuesta centrados en la detección Aclarar la secuencia de ataque de la campaña

Ejecución de Simulación

• Narrativa de Ataque y Comandos: El adversario está realizando reconocimiento para mapear la superficie de API del objetivo. Comienzan intentando descargar la documentación OpenAPI (/swagger/?format=openapi) para identificar puntos finales ocultos. Para verificar la robustez del enrutamiento del servidor web y sondear en busca de posibles caminos «ocultos» o errores de configuración, el atacante sigue esto de inmediato con una solicitud a un URI completamente aleatorio e inexistente (/zzz-nonexistent-xyz123). Esta secuencia específica está diseñada para coincidir con la huella de comportamiento de la campaña ARTEX.

• Script de Prueba de Regresión:

  #!/bin/bash
  # Script de Simulación ARTEX
  # Objetivo: Servidor Web Local
  
  TARGET_URL="http://localhost"
  
  echo "[+] Iniciando Simulación de Reconocimiento ARTEX..."
  
  # Paso 1: Disparar selección1 (Accediendo a documentación Swagger)
  echo "[+] Intentando acceder a la documentación OpenAPI..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/swagger/?format=openapi"
  echo -e "n[+] Selección 1 disparada."
  
  # Paso 2: Disparar selección4 (Sondeando recurso inexistente)
  # Esta es la condición 'Y' requerida por la regla
  echo "[+] Sondeando recurso inexistente..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/zzz-nonexistent-xyz123"
  echo -e "n[+] Selección 4 disparada."
  
  echo "[+] Simulación completa. Revisa SIEM para detección."

• Comandos de Limpieza:

  # No se realizaron cambios persistentes en la simulación. 
  # Si se crearon archivos durante las pruebas, elimínalos:
  rm -f simulation_test_output.log