L’abus d’ARTEX s’étend alors que les cybercriminels ciblent les organisations financières

Résumé

L’acteur de menace financièrement motivé Storm-3358 utilise le cadre offensif ARTEX agentic AI pour cibler les organisations financières. L’acteur exploite l’IA pour accélérer le balayage, l’exploitation et le déplacement latéral à la vitesse de la machine. ARTEX est combiné avec des outils offensifs conventionnels pour exploiter les vulnérabilités Web et déployer plusieurs chevaux de Troie d’accès à distance.

Enquête

Microsoft Threat Intelligence a observé que Storm-3358 utilise ARTEX pour scanner les systèmes exposés à Internet et exploiter des faiblesses telles que SSRF et les téléchargements de fichiers anonymes. L’enquête a identifié les RATs WISP, vshell et AdaptixC2 utilisés pour la persistance. L’acteur abuse également des identités cloud compromises et des identifiants volés pour soutenir l’exfiltration de données.

Atténuation

Les organisations devraient déployer des honeypots défensifs, des leurres et des pièges pour rediriger les agents autonomes IA loin des actifs légitimes. Microsoft Sentinel Deception peut aider à générer des signaux de haute confiance et de qualité d’attribution. Les équipes de sécurité doivent également surveiller les schémas de trafic réseau distinctifs associés aux outils de balayage et d’exploitation hautement automatisés.

Réponse

Lorsqu’une activité malveillante est détectée, les équipes de sécurité doivent examiner l’activité de connexion via Microsoft Entra ID Protection pour identifier les signaux d’identité à risque. La télémétrie des points de terminaison doit être analysée avec Microsoft Defender for Endpoint pour l’exécution de processus suspects et l’activité shell. Les organisations devraient également rechercher l’utilisation non autorisée d’utilitaires tels que curl ou netcat dans les environnements affectés.

Exécution de simulation

• Narration de l’attaque & Commandes : L’adversaire vise à établir un canal C2 persistant en utilisant la trousse à outils ARTEX. Pour échapper à la détection basée sur simples signatures d’un RAT ou d’un outil réseau, ils tentent de les combiner dans une seule chaîne d’exécution. L’objectif est de lancer une commande qui imite le modèle de chaîne spécifique nc.exe -l -p 4444 -e WISP.exe pour voir si le SOC reçoit une alerte. Cela simule le moment où l’agent ARTEX tente de tirer parti de Netcat pour ses capacités d’accès à distance.

• Script de test de régression :

  # Ce script simule le modèle de ligne de commande spécifique requis pour déclencher la condition 'AND'.
  # Remarque : Nous utilisons 'cmd /c' pour garantir que la ligne de commande est clairement capturée dans la télémétrie de processus.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "Simulation du modèle ARTEX : $SimulatedCommand"
  
  # Nous utilisons start-process pour déclencher la création d'un processus avec la ligne de commande spécifique
  # Nous utilisons un argument factice pour empêcher le script d'essayer réellement d'exécuter un nc.exe inexistant si possible, 
  # mais pour la règle, la chaîne DOIT être dans le champ CommandLine.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• Commandes de nettoyage :

  # Supprimer tous les artefacts créés lors de la simulation
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "Nettoyage terminé."