Зловживання ARTEX Розширюється, Оскільки Кіберзлочинці Націлюються на Фінансові Організації

Підсумок

Актор загрози, що має фінансову мотивацію, Storm-3358 використовує наступальну AI-інфраструктуру ARTEX для нападу на фінансові організації. Актор використовує AI для прискорення сканування, експлуатації та латерального руху на швидкості машини. ARTEX поєднується з традиційними наступальними інструментами для експлуатації веб-уразливостей та розгортання різних троянів для віддаленого доступу.

Розслідування

Microsoft Threat Intelligence спостерігала, як Storm-3358 використовує ARTEX для сканування систем, які мають доступ до інтернету, та експлуатації таких уразливостей, як SSRF і анонімні завантаження файлів. Розслідування виявило WISP, vshell та AdaptixC2 трояни, які використовуються для збереження. Актор також зловживає скомпрометованими обліковими записами в хмарі та викраденими обліковими даними для підтримки витоку даних.

Пом’якшення

Організаціям слід розгортати захисні honeypots, приманки та живці, щоб відволікти автономних AI-агентів від легітимних активів. Microsoft Sentinel Deception може допомогти згенерувати сигнали з високою впевненістю та якістю атрибуції. Команди безпеки також повинні моніторити характерні шаблони мережевого трафіку, пов’язані з високоавтоматизованими інструментами сканування та експлуатації.

Реагування

Коли виявляється зловмисна діяльність, команди безпеки повинні перевірити активність входу через Microsoft Entra ID Protection для виявлення ризикованих сигналів ідентифікації. Телеметрія кінцевих точок повинна бути проаналізована за допомогою Microsoft Defender for Endpoint на предмет підозрілих процесів і активності оболонки. Організаціям слід також шукати несанкціоноване використання утиліт, таких як curl або netcat, у постраждалих середовищах.

Виконання симуляції

• Опис нападу та команди: Противник прагне встановити стійкий C2 канал, використовуючи інструментальний комплект ARTEX. Щоб уникнути простого підпадання під сигнатурне виявлення лише RAT чи лише мережевого інструменту, вони намагаються поєднати їх у єдиній командній рядку. Мета — виконати команду, що імітує певний шаблон рядка nc.exe -l -p 4444 -e WISP.exe щоб побачити, чи SOC отримує оповіщення. Це симулює момент, коли агент ARTEX намагається використати Netcat для своїх віддалених можливостей доступу.

• Сценарій регресійного тесту:

  # Цей сценарій симулює специфічний шаблон командного рядка, необхідний для виклику умови 'AND'.
  # Примітка: Ми використовуємо 'cmd /c', щоб забезпечити чітке захоплення рядка команд у процесній телеметрії.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "Симуляція шаблону ARTEX: $SimulatedCommand"
  
  # Ми використовуємо start-process для створення процесу з специфічним командним рядком
  # Ми використовуємо фіктивний аргумент, щоб запобігти фактичному виконанню неіснуючого nc.exe якщо можливо,
  # але заради правила, рядок МАЄ міститися у полі CommandLine.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• Команди очищення:

  # Видалити будь-які артефакти, створені під час симуляції
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "Очищення завершено."