ARTEX가 새로운 에이전트 지향 공격 프레임워크의 물결을 선도하다

요약

위협 행위자들은 ARTEX, PentAGI, CAIRN과 같은 에이전트 LLM 구동 프레임워크를 무기화하여 복잡한 공격 주기를 자동화하고 있습니다. 이러한 멀티 에이전트 시스템은 빠른 정찰, 측면 이동, 권한 상승을 기계 속도로 가능하게 합니다. 이는 고도로 자동화되고 확장 가능한 침투로의 전환을 의미하며, 전통적인 방어 전략에 추가적인 압박을 가합니다.

조사

Mandiant와 GTIG는 실전 사건 대응 활동 중 UNC7228 (STORM-0940)와 연관된 그룹들로 연결된 활동을 포함하여 이러한 프레임워크를 관찰했습니다. 조사에서는 23초 동안 27개의 이벤트를 포함한 고속의 활동과 웹셸을 배포하는 데 사용된 자동화된 오류 수정을 문서화했습니다. 연구원들은 또한 이러한 도구가 클라우드 권한과 적법한 애플리케이션 API를 남용하여 공격자 목적을 달성하는 방법을 강조했습니다.

완화

방어자는 제어 평면 보호, 단명 인증 정보로 ID와 키 제한, 구성 강화, 남용에 대한 애플리케이션 기능 보안, 행동 및 용량 이상 감시 등 다섯 층 방어 전략을 채택해야 합니다. 외부 공격 표면 감소와 불필요한 관리 노출 제한은 여전히 중요한 방어 조치입니다.

응답

의심스러운 활동이 감지되면 조직은 유효한 자격 증명에 많은 작업이 의존하기 때문에 ID 중심 응답을 우선해야 합니다. 관리 API 호출의 비정상적인 폭발, 예상치 못한 인증 출처, 데이터 평면 접근 패턴의 갑작스러운 변화 등을 모니터링하십시오. 자동화된 측면 이동의 전체 범위를 조사하고 손상된 신원을 빠르게 취소하는 것이 필수적입니다.

시뮬레이션 실행

• 공격 서술 & 명령: ARTEX 프레임워크를 배포하는 적은 클라우드 환경의 권한을 파악하려고 합니다. Azure에서 쓰기/삭제 기능을 확인하기 위해, 프레임워크는 TinyTestBlob 라는 블롭를 생성한 후 즉시 삭제하는 연속 작업을 실행합니다. 동시에, AWS 환경에서는 --dry-run 플래그를 사용해 EC2 인스턴스를 나열하거나 수정하려고 시도합니다. 이는 실제 상태 변화를 유발하거나 “성공” 로그를 생성하지 않고, 대신 DryRunOperation 오류 코드를 사용하여 “거부” 또는 “허용” 상태를 확인할 수 있게 합니다.

• 회귀 테스트 스크립트:

  # ARTEX 프레임워크 시뮬레이션 스크립트
  
  Write-Host "[!] ARTEX 정찰 시뮬레이션 시작..."
  
  # --- Part 1: Azure Blob 정찰 ---
  Write-Host "[*] Azure TinyTestBlob 쓰기/삭제 시뮬레이션 중..."
  $azureAccount = "artex_test_account"
  $container = "recon-container"
  $blobName = "TinyTestBlob"
  $testFile = ".temp_recon.txt"
  "recon_data" | Out-File $testFile
  
  # 빠른 쓰기/삭제 패턴 시뮬레이션
  try {
      Set-AzStorageBlobContent -File $testFile -Container $container -Blob $blobName -Context $ctx -ErrorAction Stop
      Write-Host "[+] Azure Write 성공"
      Remove-AzStorageBlob -Blob $blobName -Container $container -Context $ctx -ErrorAction Stop
      Write-Host "[+] Azure Delete 성공"
  } catch {
      Write-Error "Azure 시뮬레이션 실패: $_"
  }
  
  # --- Part 2: AWS EC2 DryRun 정찰 ---
  Write-Host "[*] AWS EC2 DryRun 권한 확인 시뮬레이션 중..."
  # 권한이 여부에 따라 DryRunOperation 오류로 끝나는 명령어
  aws ec2 describe-instances --dry-run --region us-east-1
  
  if ($LASTEXITCODE -ne 0) {
      Write-Host "[+] AWS DryRun 확인 완료 (예상 오류 코드)"
  }
  
  Remove-Item $testFile
  Write-Host "[!] 시뮬레이션 완료."

• 정리 명령어:

  # 시뮬레이션 아티팩트 정리
  Remove-Item -Path ".temp_recon.txt" -ErrorAction SilentlyContinue
  # 참고: Azure 블롭은 이미 시뮬레이션 스크립트에 의해 삭제됨.