Strumento Pentest ARTEX AI Trovato su Server che Attaccano Aziende Giapponesi

Riepilogo

Gli aggressori stanno utilizzando ARTEX, uno strumento di penetrazione AI agentico open-source sviluppato in Cina, per automatizzare gli attacchi contro organizzazioni in Giappone e Corea del Sud. Il framework sfrutta i modelli linguistici di grandi dimensioni per effettuare ricognizioni, sondaggi e sfruttamenti, aiutando gli attaccanti a scoprire “vulnerabilità ombra” ed eludere le difese tradizionali WAF. Le campagne osservate appaiono altamente automatizzate e focalizzate su industrie specifiche.

Indagine

Indagini condotte da GMO Cybersecurity, CrowdStrike e JPCERT/CC hanno scoperto configurazioni agent AI e storie delle sessioni su infrastrutture controllate dagli attaccanti. L’analisi forense ha rivelato l’uso di ARTEX, Claude Code e connessioni a più API LLM, tra cui DeepSeek, Zhipu AI e xAI. I prompt in lingua cinese e i log delle sessioni hanno ulteriormente confermato che l’AI generativa era attivamente utilizzata per supportare il processo di intrusione.

Mitigazione

Le organizzazioni dovrebbero implementare un Software Bill of Materials (SBOM) per mantenere una visibilità accurata delle versioni software e dei componenti distribuiti. I team di sicurezza dovrebbero andare oltre la patching basata sulla versione e adottare politiche che prioritizzino gli upgrade immediati a rilasci corretti dopo che le vulnerabilità sono state divulgate. Le protezioni WAF dovrebbero anche essere rafforzate con limitazioni di velocità legate ad account, sessioni e chiavi API piuttosto che ai soli indirizzi IP.

Risposta

Quando vengono rilevati volumi insolitamente alti di richieste automatizzate o attività di sondaggio distribuito, i rispondenti agli incidenti dovrebbero indagare su modelli di ricognizione guidati dall’AI. Le organizzazioni dovrebbero rivedere i modelli di autorizzazione delle API per garantire che l’applicazione avvenga sul lato server e auditare le funzioni amministrative esposte. Se un’organizzazione peer nello stesso settore segnala una compromissione, eseguire proattivamente la scansione delle API esposte e delle piattaforme di terze parti per debolezze simili.

Esecuzione di Simulazione

• Narrativa dell’Attacco & Comandi: Un avversario ha ottenuto l’accesso iniziale a una workstation aziendale giapponese. Per accelerare la fase di riconoscimento e sfruttamento, distribuiscono lo strumento di penetrazione ARTEX guidato dall’AI. L’attaccante esegue lo strumento tramite la riga di comando per avviare una fase di scansione automatizzata contro la rete interna. Il comando ARTEX.exe --scan --target 192.168.1.0/24 viene utilizzato, il che dovrebbe attivare la regola di rilevamento a causa della presenza della stringa ‘ARTEX’ nella telemetria della creazione del processo.

• Script di Test di Regressione:

  # Script di Simulazione: Attivazione della regola di rilevamento ARTEX
  # Questo script simula l'esecuzione dello strumento ARTEX creando un eseguibile fittizio
  # e eseguendolo con l'argomento di riga di comando mirato.
  
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  
  # Crea un eseguibile fittizio (utilizzando un semplice wrapper PowerShell per scopi di simulazione)
  # In uno scenario reale, questo sarebbe il binario effettivo di ARTEX.
  New-Item -Path $SimulatedToolPath -ItemType File -Force | Out-Null
  
  Write-Host "[+] Simulazione dell'esecuzione dello strumento ARTEX..." -ForegroundColor Cyan
  
  # Esegui lo 'strumento' con la stringa specifica richiesta dalla logica di rilevamento
  # Usiamo cmd /c per garantire che la stringa della riga di comando sia catturata chiaramente nei log
  Start-Process cmd.exe -ArgumentList "/c $SimulatedToolPath --scan --target 10.0.0.1" -Wait
  
  Write-Host "[+] Comando di simulazione inviato. Verificare in SIEM l'EventID 4688 contenente 'ARTEX'." -ForegroundColor Green

• Comandi di Pulizia:

  # Script di Pulizia: Rimuovere l'artefatto simulato
  $SimulatedToolPath = "$env:TEMPARTEX.exe"
  if (Test-Path $SimulatedToolPath) {
      Remove-Item -Path $SimulatedToolPath -Force
      Write-Host "[+] Pulizia completata: $SimulatedToolPath rimosso." -ForegroundColor Yellow
  } else {
      Write-Host "[!] Pulizia saltata: Artefatto non trovato." -ForegroundColor Red
  }