ARTEX 악용 확산: 사이버 범죄자들이 금융 기관을 노리다

요약

재정적으로 동기가 부여된 위협 행위자 Storm-3358는 금융 조직을 목표로 ARTEX 에이전틱 AI 공격 프레임워크를 사용하고 있습니다. 이 행위자는 AI를 활용해 기계 속도로 스캐닝, 익스플로잇 및 횡적 이동을 가속화합니다. ARTEX는 웹 취약점을 악용하고 다중 원격 액세스 트로이 목마를 배포하기 위해 기존의 공격 도구와 결합됩니다.

조사

Microsoft Threat Intelligence는 Storm-3358가 인터넷에 노출된 시스템을 스캔하고 SSRF 및 익명 파일 업로드 등의 약점을 악용하기 위해 ARTEX를 사용하는 것을 관찰했습니다. 조사 결과 영구성을 위해 WISP, vshell 및 AdaptixC2 RAT가 사용된 것으로 확인되었습니다. 이 행위자는 또한 손상된 클라우드 아이덴티티와 도난당한 자격 증명을 남용하여 데이터 유출을 지원합니다.

완화책

조직은 자동화된 AI 에이전트가 합법적인 자산에서 벗어나도록 방어적 허니팟, 유인책 및 타핏을 배포해야 합니다. Microsoft Sentinel Deception은 높은 신뢰성의 속성을 가진 신호를 생성하는 데 도움이 될 수 있습니다. 보안 팀은 고도로 자동화된 스캐닝 및 익스플로잇 도구와 관련된 특이한 네트워크 트래픽 패턴도 모니터링해야 합니다.

대응

악의적인 활동이 감지되면 보안 팀은 Microsoft Entra ID 보호를 통해 로그인 활동을 검토하여 위험한 아이덴티티 신호를 식별해야 합니다. 엔드포인트 원격 측정치는 Microsoft Defender for Endpoint를 사용해 의심스러운 프로세스 실행 및 셸 활동과 함께 분석해야 합니다. 조직은 또한 영향을 받은 환경에서 curl이나 netcat과 같은 유틸리티의 무단 사용을 검색해야 합니다.

시뮬레이션 실행

• 공격 서술 & 명령: 적대자는 ARTEX 도구 모음을 사용하여 지속적인 C2 채널을 구축하려고 시도합니다. 단순한 서명 기반 탐지를 피하기 위해 단순 RAT 또는 네트워크 도구를 결합하려고 시도합니다. 이는 특정 문자열 패턴을 모방하는 명령을 실행하는 것이 목표입니다. nc.exe -l -p 4444 -e WISP.exe 이 예는 ARTEX 에이전트가 원격 접근 기능을 위해 Netcat을 활용하려고 시도하는 순간을 시뮬레이션합니다.

• 회귀 테스트 스크립트:

  # 이 스크립트는 'AND' 조건을 트리거하기 위해 필요한 특정 명령줄 패턴을 시뮬레이트합니다.
  # 참고: 프로세스 원격 측정에서 명령줄이 명확하게 캡처되도록 'cmd /c'를 사용합니다.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "ARTEX 패턴 시뮬레이션: $SimulatedCommand"
  
  # 특정 명령줄로 프로세스 생성 트리거하기 위해 start-process를 사용합니다
  # 더미 인수를 사용하여 스크립트가 비록 존재하지 않더라도 실행을 시도하지 않도록 합니다. 
  # 그러나 규칙을 위해 문자열은 CommandLine 필드에 반드시 있어야 합니다.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• 정리 명령:

  # 시뮬레이션 중에 생성된 아티팩트를 제거
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "정리 완료."