ARTEX-Missbrauch weitet sich aus, da Cyberkriminelle Finanzorganisationen ins Visier nehmen

Zusammenfassung

Der finanziell motivierte Bedrohungsakteur Storm-3358 verwendet das offensive ARTEX-Agentic-AI-Framework, um Finanzorganisationen anzugreifen. Der Akteur nutzt KI, um die Geschwindigkeit von Scans, Ausnutzung und seitlicher Bewegung auf Maschinenebene zu beschleunigen. ARTEX wird mit konventionellen Offensivtools kombiniert, um Web-Schwachstellen auszunutzen und mehrere Remote-Access-Trojaner bereitzustellen.

Untersuchung

Microsoft Threat Intelligence beobachtete, dass Storm-3358 ARTEX verwendet, um internetzugängliche Systeme zu scannen und Schwachstellen wie SSRF und anonyme Datei-Uploads auszunutzen. Die Untersuchung identifizierte WISP, vshell und AdaptixC2 RATs für die Beständigkeit. Der Akteur missbraucht auch kompromittierte Cloud-Identitäten und gestohlene Anmeldeinformationen, um Datenexfiltration zu unterstützen.

Minderung

Organisationen sollten defensive Honeypots, Täuschungen und Tarpits einsetzen, um autonome KI-Agenten von legitimen Assets abzulenken. Microsoft Sentinel Deception kann helfen, Signale mit hoher Zuverlässigkeit und Attributionsqualität zu generieren. Sicherheitsteams sollten auch auf markante Netzwerkverkehrsmuster achten, die mit hochautomatisierten Scanning- und Ausnutzungstools verbunden sind.

Reaktion

Wenn bösartige Aktivitäten erkannt werden, sollten Sicherheitsteams die Anmeldeaktivität über Microsoft Entra ID Protection überprüfen, um riskante Identitätssignale zu identifizieren. Endpunkt-Telemetrie sollte mit Microsoft Defender for Endpoint analysiert werden, um verdächtige Prozesse und Shell-Aktivitäten zu erkennen. Organisationen sollten auch die unbefugte Nutzung von Dienstprogrammen wie curl oder netcat in betroffenen Umgebungen untersuchen.

Simulationsausführung

• Angriffsnarrativ & Befehle: Der Gegner zielt darauf ab, einen beständigen C2-Kanal mithilfe des ARTEX-Toolkits zu etablieren. Um eine einfache, signaturbasierte Erkennung von nur einem RAT oder nur einem Netzwerktool zu umgehen, versuchen sie, diese in einem einzigen Ausführungsstring zu kombinieren. Das Ziel ist es, einen Befehl auszuführen, der das spezifische Stringmuster nachahmt nc.exe -l -p 4444 -e WISP.exe um zu sehen, ob das SOC einen Alarm erhält. Dies simuliert den Moment, in dem der ARTEX-Agent versucht, Netcat für seine Remote-Access-Fähigkeiten zu nutzen.

• Regressionstest-Skript:

  # Dieses Skript simuliert das spezifische Befehlszeilenmuster, das erforderlich ist, um die 'UND'-Bedingung auszulösen.
  # Hinweis: Wir verwenden 'cmd /c', um sicherzustellen, dass die Befehlszeile deutlich in der Prozresstelemetrie erfasst wird.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "Simuliere ARTEX-Muster: $SimulatedCommand"
  
  # Wir verwenden start-process, um die Erstellung eines Prozesses mit der spezifischen Befehlszeile auszulösen
  # Wir verwenden ein Dummy-Argument, um zu verhindern, dass das Skript tatsächlich versucht, ein nicht existierendes nc.exe auszuführen, wenn möglich, 
  # aber für den Zweck der Regel MUSS der String im CommandLine-Feld sein.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• Bereinigungskommandos:

  # Entfernen Sie alle während der Simulation erstellten Artefakte
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "Bereinigung abgeschlossen."