Storm-0940 erweitert ARTEX-Angriffe auf IT- und Softwareanbieter

Zusammenfassung

Ein China-ausgerichteter Bedrohungsakteur, der als Storm-0940 verfolgt wird, verwendet ARTEX, einen autonomen KI-Penetrationstest-Agenten, um IT- und Softwareanbieter ins Visier zu nehmen. Die Angriffe konzentrieren sich auf Identitätsanbieter wie Okta, Entra und Cognito, um Authentifizierungsschwächen zu identifizieren und Zugriff auf Kundendaten zu erlangen. Der Akteur zeigt hochautomatisiertes und anpassungsfähiges Verhalten, einschließlich IP-Rotation und häufiger Änderung des User-Agents, um der Erkennung zu entgehen.

Untersuchung

Wiz Research identifizierte die Aktivität durch die Analyse von HTTP-Zugriffsprotokollen, Telemetrie von Identitätsanbietern von AWS Cognito, Entra und Okta sowie ARTEX-bezogenen Artefakten. Die Untersuchung enthüllte ein wiederholbares Vorgehen, das Anwendungs-Mapping durch Quellkarten, Authentifizierungsprüfungen und den Missbrauch von Konto-Wiederherstellungs-Workflows umfasst. Die Kampagne wurde mit jüngsten Aktivitäten in der Lieferkette in Verbindung gebracht und zielte auf mehrere Software-Sektoren weltweit ab.

Milinderungsmassnahmen

Verteidiger sollten starke Ratenbegrenzungen für Authentifizierungs- und Konto-Wiederherstellungsendpunkte durchsetzen. Die Härtung der Konfigurationen von Identitätsanbietern, insbesondere OAuth-Flüsse und JWT-Validierung, ist entscheidend, um die Exposition zu verringern. Organisationen sollten auch auf ungewöhnliche Anstiege bei Zugriff verweigert-Ereignissen und wiederkehrende Muster im Zusammenhang mit automatischer Aufklärung überwachen.

Antwort

Wenn diese Aktivität entdeckt wird, sollten Sicherheitsteams sofort fehlgeschlagene Login-Wellen und ungewöhnliche Mengen an Ereignissen, bei denen der Zugriff verweigert wurde, untersuchen. Korrelation von Telemetrie von Identitätsanbietern mit Webserver-Protokollen, um automatisiertes Aufklärungsverhalten zu identifizieren. Schnelles IP-Blocking dort anwenden, wo es angebracht ist, und auf Folgeversuche achten, die von neuen Infrastrukturen oder unterschiedlichen Benutzeragenten ausgehen.

Erkennen fokussierter Antwortdetails Ergänzen Sie die Angriffsequenz der Kampagne

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner führt eine Aufklärung durch, um die API-Oberfläche des Ziels zu kartieren. Sie beginnen mit dem Versuch, die OpenAPI-Dokumentation herunterzuladen (/swagger/?format=openapi), um versteckte Endpunkte zu identifizieren. Um die Robustheit des Routings des Webservers zu überprüfen und nach potenziellen „versteckten“ Pfaden oder Konfigurationsfehlern zu suchen, folgt der Angreifer sofort mit einer Anfrage an eine völlig zufällige, nicht existierende URI (/zzz-nonexistent-xyz123). Diese spezifische Sequenz ist darauf ausgelegt, den Verhaltensfingerabdruck der ARTEX-Kampagne zu erreichen.

• Regressionstestskript:

  #!/bin/bash
  # ARTEX-Simulationsskript
  # Ziel: Lokaler Webserver
  
  TARGET_URL="http://localhost"
  
  echo "[+] Start der ARTEX-Aufklärungssimulation..."
  
  # Schritt 1: Auswahl1 auslösen (Zugriff auf Swagger-Dokumentation)
  echo "[+] Versuch, auf OpenAPI-Dokumentation zuzugreifen..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/swagger/?format=openapi"
  echo -e "n[+] Auswahl 1 ausgelöst."
  
  # Schritt 2: Auswahl4 auslösen (Abtasten nicht existierender Ressource)
  # Dies ist die 'UND'-Bedingung, die von der Regel erforderlich ist
  echo "[+] Abtastung nach nicht existierender Ressource..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/zzz-nonexistent-xyz123"
  echo -e "n[+] Auswahl 4 ausgelöst."
  
  echo "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Erkennung."

• Bereinigungskommandos:

  # Keine dauerhaften Änderungen durch die Simulation vorgenommen. 
  # Falls während des Tests Dateien erstellt wurden, entfernen Sie diese:
  rm -f simulation_test_output.log