Storm-0940 Allarga Gli Attacchi ARTEX a Fornitori IT e Software

Riepilogo

Un attore di minaccia allineato alla Cina, tracciato come Storm-0940, sta utilizzando ARTEX, un agente autonomo di penetrazione test AI, per prendere di mira fornitori IT e software. Gli attacchi si concentrano su fornitori di identità come Okta, Entra e Cognito per identificare debolezze di autenticazione e ottenere accesso ai dati dei clienti. L’attore mostra un comportamento altamente automatizzato e adattivo, incluso il rotazione degli indirizzi IP e frequenti cambiamenti degli agenti utente per evitare il rilevamento.

Indagine

Wiz Research ha identificato l’attività tramite l’analisi dei log di accesso HTTP, telemetry dei fornitori di identità da AWS Cognito, Entra e Okta, e artefatti correlati ad ARTEX. L’indagine ha svelato un playbook ripetibile che coinvolge mappatura delle applicazioni tramite mappe di origine, probing di autenticazione e abuso dei flussi di recupero account. La campagna è stata collegata a recenti attività della catena di approvvigionamento e ha preso di mira diversi settori software a livello mondiale.

Mitigazione

I difensori dovrebbero applicare un forte limitatore di velocità su endpoint di autenticazione e recupero account. Indurire le configurazioni dei fornitori di identità, in particolare i flussi OAuth e la validazione JWT, è fondamentale per ridurre l’esposizione. Le organizzazioni dovrebbero anche monitorare picchi insoliti di eventi a accesso negato e modelli ricorrenti associati a ricognizioni automatizzate.

Risposta

Quando viene rilevata questa attività, i team di sicurezza dovrebbero investigare immediatamente su esplosioni di login falliti e volumi anormali di eventi a accesso negato. Correlare la telemetry dei fornitori di identità con i log del server web per identificare comportamenti di ricognizione automatizzata. Applicare rapidamente il blocco IP dove appropriato e monitorare tentativi di follow-up provenienti da nuova infrastruttura o agenti utente diversi.

Aggiungi dettagli di risposta focalizzati sul rilevamento

Esecuzione della Simulazione

• Narrazi1f08590fll’Attacco & Comandi: L’avversario sta eseguendo ricognizione per mappare la superficie API del bersaglio. Iniziano tentando di scaricare la documentazione OpenAPI (/swagger/?format=openapi) per identificare endpoint nascosti. Per verificare la robustezza del routing del server web e sondare per potenziali percorsi “nascosti” o errori di configurazione, l’attaccante segue immediatamente con una richiesta a un URI completamente casuale e inesistente (/zzz-nonexistent-xyz123). Questa sequenza specifica è progettata per corrispondere all’impronta comportamentale della campagna ARTEX.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di Simulazione ARTEX
  # Bersaglio: Server Web Locale
  
  TARGET_URL="http://localhost"
  
  echo "[+] Avvio della Simulazione di Ricognizione ARTEX..."
  
  # Passo 1: Attivazione selezione1 (Accesso alla documentazione Swagger)
  echo "[+] Tentativo di accesso alla documentazione OpenAPI..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/swagger/?format=openapi"
  echo -e "n[+] Selezione 1 attivata."
  
  # Passo 2: Attivazione selezione4 (Sondaggio di risorsa inesistente)
  # Questa è la condizione 'E' richiesta dalla regola
  echo "[+] Sondaggio per risorsa inesistente..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/zzz-nonexistent-xyz123"
  echo -e "n[+] Selezione 4 attivata."
  
  echo "[+] Simulazione completata. Controlla il SIEM per la rilevazione."

• Comandi di Ripristino:

  # Nessuna modifica persistente è stata fatta dalla simulazione.
  # Se sono stati creati file durante il test, rimuoverli:
  rm -f simulation_test_output.log