El abuso de ARTEX se expande mientras los ciberdelincuentes apuntan a organizaciones financieras

Resumen

El actor de amenazas motivado financieramente Storm-3358 está utilizando el marco ofensivo de IA agentic ARTEX para apuntar a organizaciones financieras. El actor aprovecha la IA para acelerar el escaneo, explotación y movimiento lateral a la velocidad de la máquina. ARTEX se combina con herramientas ofensivas convencionales para explotar vulnerabilidades web y desplegar múltiples troyanos de acceso remoto.

Investigación

Microsoft Threat Intelligence observó que Storm-3358 usa ARTEX para escanear sistemas expuestos a Internet y explotar debilidades como SSRF y cargas de archivos anónimas. La investigación identificó RATs WISP, vshell y AdaptixC2 utilizados para persistencia. El actor también abusa de identidades en la nube comprometidas y credenciales robadas para apoyar la exfiltración de datos.

Mitigación

Las organizaciones deben desplegar honeypots defensivos, engaños y trampas para redirigir agentes autónomos de IA lejos de activos legítimos. Microsoft Sentinel Deception puede ayudar a generar señales de alta confianza y calidad de atribución. Los equipos de seguridad también deben monitorear patrones de tráfico de red distintivos asociados con herramientas de escaneo y explotación altamente automatizadas.

Respuesta

Cuando se detecta actividad maliciosa, los equipos de seguridad deben revisar la actividad de inicio de sesión a través de Microsoft Entra ID Protection para identificar señales de identidad de riesgo. La telemetría de los endpoints debe analizarse con Microsoft Defender for Endpoint en búsqueda de ejecuciones de procesos sospechosos y actividad de shell. Las organizaciones también deben buscar el uso no autorizado de utilidades como curl o netcat en los entornos afectados.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El adversario busca establecer un canal C2 persistente utilizando las herramientas ARTEX. Para evadir la detección simple basada en firmas de solo un RAT o solo una herramienta de red, intentan combinarlos en una única cadena de ejecución. El objetivo es ejecutar un comando que imite el patrón de cadena específico nc.exe -l -p 4444 -e WISP.exe para ver si el SOC recibe una alerta. Esto simula el momento en que el agente ARTEX intenta aprovechar Netcat por sus capacidades de acceso remoto.

• Script de Prueba de Regresión:

  # Este script simula el patrón específico de línea de comandos requerido para activar la condición 'AND'.
  # Nota: Usamos 'cmd /c' para asegurar que la línea de comandos se capture claramente en la telemetría de procesos.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "Simulando patrón ARTEX: $SimulatedCommand"
  
  # Usamos start-process para desencadenar la creación de un proceso con la línea de comandos específica
  # Usamos un argumento ficticio para evitar que el script realmente intente ejecutar un nc.exe inexistente si es posible, 
  # pero para el bien de la regla, la cadena DEBE estar en el campo CommandLine.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• Comandos de Limpieza:

  # Quitar cualquier artefacto creado durante la simulación
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "Limpieza completa."