Wzrost nadużyć ARTEX, cyberprzestępcy atakują organizacje finansowe

Podsumowanie

Motywowany finansowo aktor zagrożeń Storm-3358 używa ofensywnego frameworka ARTEX agentic AI, aby atakować organizacje finansowe. Podmiot wykorzystuje AI do przyspieszenia skanowania, eksploatacji i ruchu lateralnego z prędkością maszynową. ARTEX jest łączony z konwencjonalnymi narzędziami ofensywnymi do wykorzystywania luk w zabezpieczeniach webowych i wdrażania wielu trojanów zdalnego dostępu.

Śledztwo

Microsoft Threat Intelligence zaobserwował, że Storm-3358 używa ARTEX do skanowania systemów z ekspozycją na internet i wykorzystywania słabości, takich jak SSRF i anonimowe przesyłanie plików. Śledztwo zidentyfikowało wykorzystanie trojanów WISP, vshell i AdaptixC2 do utrzymania się w systemie. Aktor także nadużywa skompromitowanych tożsamości w chmurze i skradzionych poświadczeń w celu wspierania eksfiltracji danych.

Łagodzenie zagrożeń

Organizacje powinny wdrożyć pułapki obronne, wabiki i przynęty, aby przekierować autonomiczne agentów AI od legalnych zasobów. Microsoft Sentinel Deception może pomóc w generowaniu sygnałów o wysokiej pewności i wysokiej jakości przypisania. Zespoły bezpieczeństwa powinny także monitorować charakterystyczne wzorce ruchu sieciowego powiązane z wysoko zautomatyzowanymi narzędziami skanowania i eksploatacji.

Reakcja

W przypadku wykrycia złośliwej aktywności, zespoły bezpieczeństwa powinny przeglądać aktywność logowania poprzez Microsoft Entra ID Protection, aby zidentyfikować ryzykowne sygnały tożsamości. Telemetria punktu końcowego powinna być analizowana z Microsoft Defender dla Endpoint pod kątem podejrzanych uruchomień procesów i aktywności powłoki. Organizacje powinny także przeprowadzać poszukiwania nieautoryzowanego użycia narzędzi, takich jak curl lub netcat, w całych zaatakowanych środowiskach.

Wykonanie Symulacji

• Narracja Ataku & Komendy: Adwersarz stara się ustanowić trwały kanał C2, używając zestawu narzędzi ARTEX. Aby uniknąć prostego wykrycia opartego na sygnaturach tylko RAT lub tylko narzędzia sieciowego, próbuje połączyć je w jednym ciągu wykonania. Celem jest uruchomienie komendy, która imituje specyficzny wzorzec ciągu nc.exe -l -p 4444 -e WISP.exe aby sprawdzić, czy SOC wysyła alert. To symuluje moment, w którym agent ARTEX próbuje wykorzystać Netcat do swoich zdolności zdalnego dostępu.

• Skrypt Testu Regresyjnego:

  # Ten skrypt symuluje specyficzny wzorzec linii komend wymagany do wywołania warunku 'AND'.
  # Uwaga: Używamy 'cmd /c', aby zapewnić, że linia komend jest jasno uchwycona w telemetrii procesu.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "Symulowanie wzorca ARTEX: $SimulatedCommand"
  
  # Używamy start-process, aby wywołać utworzenie procesu z określoną linią komend
  # Używamy fikcyjnego argumentu, aby zapobiec, jeśli to możliwe, faktycznemu wykonaniu nieistniejącego nc.exe, 
  # ale dla dobra reguły, ciąg musi być w polu CommandLine.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• Komendy do czyszczenia:

  # Usuń wszelkie artefakty stworzone podczas symulacji
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "Czyszczenie zakończone."