Storm-0940 扩大 ARTEX 攻击范围至 IT 和软件供应商

摘要

与中国结盟的威胁行为者Storm-0940正在使用ARTEX，一个自主AI渗透测试代理，针对IT和软件供应商发起攻击。这些攻击重点针对身份提供商，如Okta、Entra和Cognito，以识别身份验证弱点并获取客户数据。该行为者表现出高度自动化和自适应行为，包括IP轮换和频繁的用户代理更改，以规避检测。

调查

Wiz Research通过分析HTTP访问日志、来自AWS Cognito、Entra和Okta的身份提供商遥测以及ARTEX相关的文物，识别了该活动。调查揭示了一份可重复的剧本，涉及通过源映射进行应用程序映射、身份验证探测和滥用账户恢复流程。该活动与最近的供应链活动有关，并在全球范围内针对多个软件行业。

缓解措施

防御者应在身份验证和账户恢复端点上强制执行强大的速率限制。加强身份提供商配置，特别是OAuth流程和JWT验证，对于减少暴露至关重要。组织还应监控访问被拒绝事件中的异常激增和与自动侦察相关的重复模式。

响应

当检测到此活动时，安全团队应立即调查登录失败暴增和访问被拒绝事件的异常数量。将身份提供商遥测与Web服务器日志关联，以识别自动侦察行为。在适当的情况下，快速应用IP封锁，并监控来自新基础设施或不同用户代理的后续尝试。

添加以检测为重点的响应细节。澄清活动的攻击序列。

仿真执行

• 攻击叙述与命令： 攻击者正在进行侦察以映射目标的API表面。他们首先尝试下载OpenAPI文档（/swagger/?format=openapi）以识别隐藏的端点。为了验证Web服务器路由的鲁棒性并探测潜在的“隐藏”路径或配置错误，攻击者紧接着请求一个完全随机的不存在的URI（/zzz-nonexistent-xyz123）。这种特定的序列旨在匹配ARTEX活动的行为指纹。

• 回归测试脚本：

  #!/bin/bash
  # ARTEX仿真脚本
  # 目标：本地Web服务器
  
  TARGET_URL="http://localhost"
  
  echo "[+] 开始ARTEX侦查仿真..."
  
  # 第1步：触发选择1（访问Swagger文档）
  echo "[+] 尝试访问OpenAPI文档..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/swagger/?format=openapi"
  echo -e "n[+] 已触发选择1。"
  
  # 第2步：触发选择4（探测不存在的资源）
  # 这是规则所需的“AND”条件
  echo "[+] 探测不存在的资源..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/zzz-nonexistent-xyz123"
  echo -e "n[+] 已触发选择4。"
  
  echo "[+] 仿真完成。检查SIEM以检测。"

• 清理命令：

  # 仿真未进行持久性更改。
  # 如果在测试期间创建了任何文件，请将其删除：
  rm -f simulation_test_output.log