Storm-0940 Expande os Ataques ARTEX para Fornecedores de TI e Software

Resumo

Um ator de ameaça alinhado à China, rastreado como Storm-0940, está usando o ARTEX, um agente de teste de penetração autônomo com IA, para atacar fornecedores de TI e software. Os ataques focam em provedores de identidade como Okta, Entra e Cognito para identificar fraquezas de autenticação e obter acesso a dados de clientes. O ator exibe um comportamento altamente automatizado e adaptativo, incluindo rotação de IPs e alterações frequentes de user-agent para evitar a detecção.

Investigação

A Wiz Research identificou a atividade através da análise de logs de acesso HTTP, telemetria de provedores de identidade da AWS Cognito, Entra e Okta, e artefatos relacionados ao ARTEX. A investigação revelou um plano repetido envolvendo mapeamento de aplicativos por meio de mapas de origem, sondagem de autenticação e abuso de fluxos de recuperação de contas. A campanha foi vinculada a atividades recentes de cadeia de suprimentos e visou múltiplos setores de software em todo o mundo.

Mitigação

Os defensores devem impor limites de taxa fortes em pontos finais de autenticação e recuperação de contas. Aumentar a segurança das configurações dos provedores de identidade, particularmente fluxos OAuth e validação de JWT, é crucial para reduzir a exposição. As organizações também devem monitorar picos incomuns em eventos de acesso negado e padrões recorrentes associados a reconhecimento automatizado.

Resposta

Quando essa atividade for detectada, as equipes de segurança devem investigar imediatamente explosões de logins falhados e volumes anormais de eventos de acesso negado. Correlacione a telemetria do provedor de identidade com os logs do servidor web para identificar comportamentos de reconhecimento automatizado. Aplique bloqueio rápido de IP quando apropriado e monitore tentativas de acompanhamento originadas de novas infraestruturas ou agentes de usuário diversos.

Adicionar detalhes de resposta focados na detecçãoClarificar a sequência de ataque da campanha

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário está realizando um reconhecimento para mapear a superfície da API do alvo. Eles começam tentando baixar a documentação OpenAPI (/swagger/?format=openapi) para identificar endpoints ocultos. Para verificar a robustez do roteamento do servidor web e sondar por caminhos “escondidos” ou erros de configuração, o atacante segue imediatamente com um pedido a um URI completamente aleatório e inexistente (/zzz-nonexistent-xyz123). Esta sequência específica é projetada para corresponder ao padrão comportamental da campanha ARTEX.

• Script de Teste de Regressão:

  #!/bin/bash
  # Script de Simulação ARTEX
  # Alvo: Servidor Web Local
  
  TARGET_URL="http://localhost"
  
  echo "[+] Iniciando Simulação de Reconhecimento ARTEX..."
  
  # Passo 1: Acionar seleção1 (Acessando documentação Swagger)
  echo "[+] Tentando acessar a documentação OpenAPI..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/swagger/?format=openapi"
  echo -e "n[+] Seleção 1 acionada."
  
  # Passo 2: Acionar seleção4 (Sondagem de recurso inexistente)
  # Esta é a condição 'E' exigida pela regra
  echo "[+] Sondando recurso inexistente..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/zzz-nonexistent-xyz123"
  echo -e "n[+] Seleção 4 acionada."
  
  echo "[+] Simulação completa. Verifique o SIEM para detecção."

• Comandos de Limpeza:

  # Nenhuma alteração persistente feita pela simulação. 
  # Se algum arquivo foi criado durante o teste, remova-os:
  rm -f simulation_test_output.log