ARTEX очолює нову хвилю агентських наступальних платформ

Резюме

Зловмисники все частіше використовують агентні LLM-керовані фреймворки, такі як ARTEX, PentAGI та CAIRN, для автоматизації складних життєвих циклів атак. Ці мультиагентні системи забезпечують швидке збирання розвідданих, горизонтальне переміщення та ескалацію привілеїв на швидкості машини. Ця еволюція означає перехід до високоавтоматизованих, масштабованих вторгнень, які створюють додатковий тиск на традиційні захисні стратегії.

Розслідування

Mandiant та GTIG спостерігали ці фреймворки під час реагування на інциденти в реальному світі, включаючи активність, пов’язану з групами, такими як UNC7228 (STORM-0940). Розслідування документували високошвидкісні сплески, включаючи 27 подій за 23 секунди, разом з автоматизованою корекцією помилок, яка використовувалась для впровадження вебшеллів. Дослідники також підкреслювали, як ці інструменти зловживають дозволами в хмарі та легітимними API додатків для досягнення цілей нападника.

Пом’якшення

Захисникам слід прийняти п’ятишарову стратегію захисту: захист керуючих площин, обмеження ідентичностей та ключів за допомогою короткоживуних облікових даних, зміцнення конфігурацій, захист функцій додатків від зловживань і моніторинг поведінкових та об’ємних аномалій. Зниження зовнішньої поверхні атаки та обмеження непотрібної адміністративної експозиції залишаються критично важливими захисними заходами.

Відповідь

Коли виявлено підозрілу активність, організаціям слід віддати пріоритетному реагуванню, орієнтованому на ідентичність, оскільки багато дій покладаються на дійсні облікові дані. Моніторьте наявність несподіваних сплесків викликів API управління, неочікуваних джерел аутентифікації та раптових змін у паттернах доступу до площини даних. Швидке відкликання компрометованих ідентичностей та розслідування повного обсягу автоматизованого горизонтального переміщення є необхідним.

Виконання симуляції

• Розповідь про атаку та команди: Супротивник, який розгортає фреймворк ARTEX, прагне карти дозволів хмарного середовища. Щоб перевірити можливості запису/видалення в Azure, фреймворк виконує швидкосерійний порядок створення блоба з назвою TinyTestBlob і одразу його видаляє. Одночасно в середовищі AWS супротивник намагається перелічити або змінити екземпляри EC2, використовуючи --dry-run прапор. Це дозволяє їм підтвердити, чи має їх теперішня IAM роль достатні привілеї, не викликаючи фактичних змін стану або генерування “успішних” журналів, замість цього покладаючись на код помилки DryRunOperation для підтвердження статусу “відхилено” або “дозволено”.

• Сценарій регресійного тестування:

  # Симуляційний сценарій фреймворку ARTEX
  
  Write-Host "[!] Запуск симуляції розвідки ARTEX..."
  
  # --- Частина 1: Розвідка Azure Blob ---
  Write-Host "[*] Імітація запису/видалення Azure TinyTestBlob..."
  $azureAccount = "artex_test_account"
  $container = "recon-container"
  $blobName = "TinyTestBlob"
  $testFile = ".temp_recon.txt"
  "recon_data" | Out-File $testFile
  
  # Імітація швидкої послідовності запису/видалення
  try {
      Set-AzStorageBlobContent -File $testFile -Container $container -Blob $blobName -Context $ctx -ErrorAction Stop
      Write-Host "[+] Успішний запис Azure"
      Remove-AzStorageBlob -Blob $blobName -Container $container -Context $ctx -ErrorAction Stop
      Write-Host "[+] Успішне видалення Azure"
  } catch {
      Write-Error "Симуляція Azure не вдалася: $_"
  }
  
  # --- Частина 2: Розвідка AWS EC2 DryRun ---
  Write-Host "[*] Імітація перевірки дозволів AWS EC2 DryRun..."
  # Ця команда призначена для провалу з помилкою DryRunOperation, якщо дозволи присутні або відсутні
  aws ec2 describe-instances --dry-run --region us-east-1
  
  if ($LASTEXITCODE -ne 0) {
      Write-Host "[+] Перевірка AWS DryRun завершена (очікувана помилка коду)"
  }
  
  Remove-Item $testFile
  Write-Host "[!] Симуляція завершена."

• Команди очистки:

  # Очистка артефактів симуляції
  Remove-Item -Path ".temp_recon.txt" -ErrorAction SilentlyContinue
  # Примітка: Блоб Azure вже було видалено скриптом симуляції.