L’abuso di ARTEX si espande mentre i criminali informatici prendono di mira le organizzazioni finanziarie

Riassunto

L’attore di minacce motivato finanziariamente Storm-3358 sta utilizzando il framework offensivo ARTEX agentic AI per colpire organizzazioni finanziarie. L’attore sfrutta l’AI per accelerare la scansione, l’esploitazione e il movimento laterale a velocità di macchina. ARTEX è combinato con strumenti offensivi convenzionali per sfruttare le vulnerabilità web e distribuire più trojan di accesso remoto.

Investigazione

Microsoft Threat Intelligence ha osservato che Storm-3358 utilizza ARTEX per scansionare sistemi esposti a Internet e sfruttare debolezze come SSRF e caricamenti di file anonimi. L’indagine ha identificato l’uso di WISP, vshell e AdaptixC2 RAT per la persistenza. L’attore inoltre abusa di identità cloud compromesse e credenziali rubate per supportare l’esfiltrazione di dati.

Mitigazione

Le organizzazioni dovrebbero distribuire honeypot difensivi, esche e tarpits per reindirizzare gli agenti AI autonomi lontano dalle risorse legittime. Microsoft Sentinel Deception può aiutare a generare segnali di alta fiducia e di qualità di attribuzione. I team di sicurezza dovrebbero anche monitorare i modelli di traffico di rete distintivi associati a strumenti di scansione e sfruttamento altamente automatizzati.

Risposta

Quando viene rilevata un’attività dannosa, i team di sicurezza dovrebbero esaminare l’attività di accesso tramite Microsoft Entra ID Protection per identificare segnali di identità a rischio. La telemetria dei terminali dovrebbe essere analizzata con Microsoft Defender for Endpoint per l’esecuzione di processi sospetti e l’attività di shell. Le organizzazioni dovrebbero anche cercare l’uso non autorizzato di utility come curl o netcat negli ambienti interessati.

Esecuzione Simulazione

• Narrativa di Attacco & Comandi: L’avversario punta a stabilire un canale C2 persistente usando il toolkit ARTEX. Per eludere una rilevazione basata su firme semplici di solo un RAT o solo uno strumento di rete, tentano di combinarli in un singolo comando di esecuzione. L’obiettivo è eseguire un comando che imita il specifico modello di stringa nc.exe -l -p 4444 -e WISP.exe per vedere se la SOC riceve un avviso. Questo simula il momento in cui l’agente ARTEX tenta di sfruttare Netcat per le sue capacità di accesso remoto.

• Script di Test di Regressione:

  # Questo script simula lo specifico modello di linea di comando richiesto per innescare la condizione 'AND'.
  # Nota: Usiamo 'cmd /c' per assicurare che la linea di comando sia catturata chiaramente nella telemetria del processo.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "Simulazione del modello ARTEX: $SimulatedCommand"
  
  # Usiamo start-process per innescare la creazione di un processo con lo specifico comando
  # Usiamo un argomento fittizio per impedire allo script di tentare effettivamente di eseguire un nc.exe inesistente se possibile, 
  # ma per il bene della regola, la stringa DEVE essere nel campo CommandLine.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• Comandi di Pulizia:

  # Rimuovere eventuali artefatti creati durante la simulazione
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "Pulizia completa."