ARTEXが牽引するエージェンティック攻撃フレームワークの新たな波

概要

脅威アクターは、ARTEX、PentAGI、CAIRNなどのエージェント駆動型LLMフレームワークを武器化し、複雑な攻撃ライフサイクルを自動化するケースが増えています。これらのマルチエージェントシステムは、迅速な偵察、横方向の動き、および機械速度での特権エスカレーションを可能にします。この進化は、高度に自動化され、スケーラブルな侵入へとシフトしており、従来の防御戦略に追加の圧力をかけます。

調査

MandiantとGTIGは、実際のインシデント対応においてこれらのフレームワークを観察し、UNC7228（STORM-0940）と関連付けられる活動を含む事例を記録しました。調査では、23秒間に27のイベントを含む高速度のバーストが記録され、ウェブシェルの展開に使用される自動化エラー修正が見られました。研究者たちはまた、これらのツールがクラウドの権限を悪用し、攻撃者の目的を達成するために正規のアプリケーションAPIをどのように乱用するかを強調しました。

緩和策

防御者は5層の防御戦略を採用すべきです。コントロールプレーンの保護、短期間の資格情報でのアイデンティティとキーの制限、構成の強化、乱用に対するアプリケーション機能のセキュリティ確保、行動的およびボリューム体の異常を監視することが重要です。外部攻撃面の削減と不要な管理的露出の制限は依然として重要な防御手段です。

対応

疑わしい活動が検出された場合、組織はアイデンティティ中心の対応を優先すべきです。多くのアクションが有効な資格情報に依存しているためです。異常な管理API呼び出しのバースト、不意の認証の起源、データプレーンアクセスパターンの突然の変化を監視してください。妥協したアイデンティティの迅速な取り消しと自動化された横方向の動きの全範囲の調査が重要です。

シミュレーション実行

• 攻撃の物語＆コマンド: ARTEXフレームワークを展開する敵対者は、クラウド環境の権限をマッピングすることを狙っています。Azureでの書き込み/削除能力を確認するために、フレームワークは高速のシーケンスで TinyTestBlob を作成し、その直後に削除します。同時に、AWS環境では、敵対者は --dry-run フラグを使用してEC2インスタンスをリストまたは変更しようとします。これにより、現在のIAMロールが十分な権限を持っているかどうかを実際の状態変化を引き起こさずに確認することができ、「成功」ログを生成する代わりに DryRunOperation エラーコードを使用して「拒否」または「許可」ステータスを確認します。

• 回帰テストスクリプト:

  # ARTEXフレームワークシミュレーションスクリプト
  
  Write-Host "[!] ARTEX偵察シミュレーションを開始中..."
  
  # --- Part 1: Azure Blobの偵察 ---
  Write-Host "[*] Azure TinyTestBlobの書き込み/削除をシミュレート中..."
  $azureAccount = "artex_test_account"
  $container = "recon-container"
  $blobName = "TinyTestBlob"
  $testFile = ".temp_recon.txt"
  "recon_data" | Out-File $testFile
  
  # 書き込み/削除パターンを迅速にシミュレート
  try {
      Set-AzStorageBlobContent -File $testFile -Container $container -Blob $blobName -Context $ctx -ErrorAction Stop
      Write-Host "[+] Azure 書き込み成功"
      Remove-AzStorageBlob -Blob $blobName -Container $container -Context $ctx -ErrorAction Stop
      Write-Host "[+] Azure 削除成功"
  } catch {
      Write-Error "Azure シミュレーション失敗: $_"
  }
  
  # --- Part 2: AWS EC2 DryRun偵察 ---
  Write-Host "[*] AWS EC2 DryRunの権限チェックをシミュレート中..."
  # このコマンドは、DryRunOperationエラーで権限が存在するかどうかを示すように設計されています
  aws ec2 describe-instances --dry-run --region us-east-1
  
  if ($LASTEXITCODE -ne 0) {
      Write-Host "[+] AWS DryRunチェック完了 (予期されたエラーコード)"
  }
  
  Remove-Item $testFile
  Write-Host "[!] シミュレーション完了."

• クリーンアップコマンド:

  # シミュレーションアーティファクトのクリーンアップ
  Remove-Item -Path ".temp_recon.txt" -ErrorAction SilentlyContinue
  # 注: Azure Blobはシミュレーションスクリプトによって既に削除されています。