Storm-0940, ARTEX 공격 IT 및 소프트웨어 업체로 확대

요약

Storm-0940으로 추적되는 중국 연계 위협 행위자가 ARTEX라는 자율 AI 침투 테스트 에이전트를 사용하여 IT 및 소프트웨어 공급업체를 대상으로 공격을 수행하고 있습니다. 이 공격은 Okta, Entra, Cognito와 같은 인증 공급업체를 대상으로 인증 취약점을 식별하고 고객 데이터에 액세스하기 위해 집중되고 있습니다. 이 행위자는 IP 회전 및 탐지 회피를 위한 빈번한 사용자 에이전트 변경을 포함하여 고도로 자동화되고 적응적인 행동을 보여주고 있습니다.

조사

Wiz Research는 HTTP 접근 로그, AWS Cognito, Entra, Okta에서의 인증 공급업체 정보와 ARTEX 관련 아티팩트 분석을 통해 이 활동을 식별했습니다. 조사 결과, 소스 맵을 통한 애플리케이션 맵핑, 인증 탐색, 계정 복구 워크플로우 남용이 포함된 반복 가능한 실행 계획이 밝혀졌습니다. 이 캠페인은 최근 공급망 활동과 연관되어 있으며 전 세계 다양한 소프트웨어 섹터를 대상으로 했습니다.

완화

수비수는 인증 및 계정 복구 엔드포인트에서 강력한 속도 제한을 적용해야 합니다. 특히 OAuth 흐름 및 JWT 검증 등 인증 공급업체 설정을 강화하여 노출을 줄이는 것이 중요합니다. 조직은 또한 액세스 거부 이벤트의 비정상적인 급증과 자동화된 정찰과 관련된 반복 패턴을 모니터링해야 합니다.

대응

이 활동이 탐지되면, 보안 팀은 즉시 실패한 로그인 폭주 및 비정상적으로 많은 액세스 거부 이벤트를 조사해야 합니다. 웹 서버 로그와의 인증 공급업체 정보의 상관관계를 통해 자동화된 정찰 행동을 식별해야 합니다. 적절한 경우 IP 차단을 신속히 적용하고 새로운 인프라 또는 다양한 사용자 에이전트에서 발생하는 후속 시도를 모니터링해야 합니다.

탐지 중심의 대응 세부사항 추가 캠페인의 공격 순서 명확화

시뮬레이션 실행

• 공격 서사 및 명령어: 대상자의 API 표면을 맵핑하기 위해 적이 정찰을 수행하고 있습니다. 공격자는 숨겨진 엔드포인트를 식별하기 위해 OpenAPI 문서 (/swagger/?format=openapi)를 다운로드하려고 시도하는 것으로 시작합니다. 웹 서버의 라우팅 견고성을 확인하고 잠재적인 “숨겨진” 경로 또는 구성 오류를 확인하기 위해 공격자는 즉시 완전히 무작위화된, 존재하지 않는 URI (/zzz-nonexistent-xyz123)로 요청합니다. 이 특정 시퀀스는 ARTEX 캠페인의 행동 지문과 일치하도록 설계되었습니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # ARTEX Simulation Script
  # Target: Localhost Web Server
  
  TARGET_URL="http://localhost"
  
  echo "[+] Starting ARTEX Reconnaissance Simulation..."
  
  # Step 1: Trigger selection1 (Accessing Swagger documentation)
  echo "[+] Attempting to access OpenAPI documentation..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/swagger/?format=openapi"
  echo -e "n[+] Selection 1 triggered."
  
  # Step 2: Trigger selection4 (Probing non-existent resource)
  # This is the 'AND' condition required by the rule
  echo "[+] Probing for non-existent resource..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/zzz-nonexistent-xyz123"
  echo -e "n[+] Selection 4 triggered."
  
  echo "[+] Simulation complete. Check SIEM for detection."

• 정리 명령:

  # 시뮬레이션에 의해 변경된 지속적 변경 사항 없음. 
  # 테스트 중에 생성된 파일이 있는 경우 제거:
  rm -f simulation_test_output.log