ARTEX悪用が拡大し、サイバー犯罪者は金融機関を標的に

概要

経済的動機を持つ脅威アクターStorm-3358は、金融機関を標的にした攻撃的AIフレームワークARTEXを活用しています。このアクターはAIを利用して、スキャン、エクスプロイト、横移動を機械速度で加速させます。ARTEXは、従来の攻撃ツールと組み合わせて、ウェブの脆弱性を悪用し、複数のリモートアクセス型トロイの木馬を展開します。

調査

Microsoft Threat Intelligenceは、Storm-3358がARTEXを使用してインターネット対応システムをスキャンし、SSRFや匿名ファイルアップロードなどの脆弱性を悪用するのを観察しました。この調査で、WISP、vshell、AdaptixC2 RATsが持続性のために使用されていることが確認されました。アクターはさらに、データ流出をサポートするために、侵害されたクラウドIDおよび盗まれたクレデンシャルを悪用します。

対応策

組織は、防御的ハニーポット、デコイ、およびターピットを展開して自律的AIエージェントを正規資産から遠ざけるべきです。Microsoft Sentinel Deceptionは、高信頼性で帰属品質の信号を生成するのに役立ちます。セキュリティチームは、高度に自動化されたスキャンおよびエクスプロイトツールに関連する特徴的なネットワークトラフィックパターンを監視することも推奨されます。

対応

悪意のある活動が検出された場合、セキュリティチームは、Microsoft Entra ID Protectionを通じてサインイン活動をレビューし、リスクのあるID信号を識別するべきです。エンドポイントのテレメトリーは、Microsoft Defender for Endpointを使用して、疑わしいプロセスの実行やシェル活動を分析する必要があります。また、組織は影響を受けた環境全体でcurlやnetcatなどのユーティリティの不正使用を捜索する必要があります。

シミュレーションの実行

• 攻撃の物語＆コマンド： 敵の目的は、ARTEXツールキットを使用して持続的なC2チャネルを確立することです。単なるRATまたはネットワークツールのシグネチャ検出を回避するために、それらを単一の実行文字列で組み合わせようとします。目的は、特定の文字列パターンを模倣するコマンドを実行することです。 nc.exe -l -p 4444 -e WISP.exe SOCがアラートを受信するかどうかを確認します。これはARTEXエージェントがNetcatをリモートアクセス機能に活用しようとする瞬間をシミュレートします。

• 回帰テストスクリプト：

  # このスクリプトは「AND」条件をトリガーするために必要な特定のコマンドラインパターンをシミュレートします。
  # 注：プロセステレメトリーでコマンドラインが明瞭にキャプチャされるように「cmd /c」を使用します。
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "ARTEXパターンをシミュレートしています：$SimulatedCommand"
  
  # 特定のコマンドラインでプロセスの作成をトリガーするためにstart-processを使用します。
  # スクリプトができるだけ実際のnc.exeを実行しないようにダミーの引数を使用します。
  # ただし、ルールのために、文字列がCommandLineフィールドにあることが必須です。
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• クリーンアップコマンド：

  # シミュレーション中に作成されたアーティファクトを削除します
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "クリーンアップ完了。"