Se encuentra la herramienta de prueba de penetración ARTEX AI en servidores que atacan a empresas japonesas

Resumen

Los atacantes están utilizando ARTEX, una herramienta de pruebas de penetración con IA agentica de código abierto desarrollada en China, para automatizar ataques contra organizaciones en Japón y Corea del Sur. El marco aprovecha los Modelos de Lenguaje de Gran Escala para realizar reconocimiento, sondeo y explotación, ayudando a los atacantes a descubrir «vulnerabilidades ocultas» y eludir las defensas tradicionales de WAF. Las campañas observadas parecen altamente automatizadas y están enfocadas en industrias específicas.

Investigación

Investigaciones de GMO Cybersecurity, CrowdStrike y JPCERT/CC descubrieron configuraciones de agentes de IA e historiales de sesiones en infraestructuras controladas por los atacantes. Un análisis forense reveló el uso de ARTEX, Claude Code y múltiples conexiones de API de LLM, incluidas DeepSeek, Zhipu AI y xAI. Las indicaciones en chino y los registros de sesión confirmaron además que la IA generativa se utilizó activamente para apoyar el proceso de intrusión.

Mitigación

Las organizaciones deben implementar un Bill of Materials de Software (SBOM) para mantener una visibilidad precisa de las versiones de software y los componentes implementados. Los equipos de seguridad deben ir más allá de los parches basados en versiones y adoptar políticas que prioricen las actualizaciones inmediatas a lanzamientos corregidos después de divulgar vulnerabilidades. Las protecciones de WAF también deben reforzarse con límites de tasa vinculados a cuentas, sesiones y claves de API en lugar de solo direcciones IP.

Respuesta

Cuando se detecten volúmenes inusualmente altos de solicitudes automatizadas o actividades de sondeo distribuidas, los respondedores de incidentes deben investigar patrones de reconocimiento impulsados por IA. Las organizaciones deben revisar los modelos de autorización de API para asegurar que la aplicación ocurra del lado del servidor y auditar las funciones administrativas expuestas. Si una organización similar en la misma industria reporta una vulneración, escanee proactivamente las API expuestas y las plataformas de terceros en busca de debilidades similares.

Ejecución de Simulación

• Narrativa de Ataque y Comandos: Un adversario ha obtenido acceso inicial a una estación de trabajo corporativa japonesa. Para acelerar su fase de reconocimiento y explotación, despliegan la herramienta de penetración impulsada por ARTEX AI. El atacante ejecuta la herramienta a través de la línea de comandos para iniciar una fase de escaneo automatizado contra la red interna. El comando ARTEX.exe --scan --target 192.168.1.0/24 se utiliza, lo cual se espera que active la regla de detección debido a la presencia de la cadena ‘ARTEX’ en la telemetría de creación de procesos.

• Script de Prueba de Regresión:

  # Script de Simulación: Activación de la regla de detección ARTEX
  # Este script simula la ejecución de la herramienta ARTEX creando un ejecutable simulado
  # y ejecutándolo con el argumento de la línea de comandos objetivo.
  
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  
  # Crear un ejecutable simulado (usando un envoltorio simple de PowerShell para fines de simulación)
  # En un escenario real, este sería el binario real de ARTEX.
  New-Item -Path $SimulatedToolPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Simulando la ejecución de la herramienta ARTEX..." -ForegroundColor Cyan
  
  # Ejecutar la 'herramienta' con la cadena específica requerida por la lógica de detección
  # Usamos cmd /c para asegurar que la cadena de la línea de comandos se capture claramente en los registros
  Start-Process cmd.exe -ArgumentList "/c $SimulatedToolPath --scan --target 10.0.0.1" -Wait
  
  Write-Host "[+] Comando de simulación enviado. Verifique SIEM para EventID 4688 que contenga 'ARTEX'." -ForegroundColor Green

• Comandos de Limpieza:

  # Script de Limpieza: Eliminar el artefacto simulado
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  if (Test-Path $SimulatedToolPath) {
      Remove-Item -Path $SimulatedToolPath -Force
      Write-Host "[+] Limpieza completa: $SimulatedToolPath eliminado." -ForegroundColor Yellow
  } else {
      Write-Host "[!] Limpieza omitida: Artefacto no encontrado." -ForegroundColor Red
  }