Abuso de ARTEX se Expande enquanto Cibercriminosos Miram Organizações Financeiras

Resumo

O ator de ameaça Storm-3358, motivado financeiramente, está usando a estrutura ofensiva de IA agentic ARTEX para atacar organizações financeiras. O ator utiliza IA para acelerar a varredura, exploração e movimento lateral em velocidade de máquina. O ARTEX é combinado com ferramentas ofensivas convencionais para explorar vulnerabilidades na web e implantar múltiplos trojans de acesso remoto.

Investigação

A Inteligência de Ameaças da Microsoft observou o Storm-3358 usando o ARTEX para escanear sistemas voltados para a internet e explorar fraquezas como SSRF e upload anônimo de arquivos. A investigação identificou os RATs WISP, vshell e AdaptixC2 usados para persistência. O ator também abusa de identidades de nuvem comprometidas e credenciais roubadas para apoiar a exfiltração de dados.

Mitigação

As organizações devem implantar honeypots defensivos, armadilhas e tarpits para redirecionar os agentes autônomos de IA para longe de ativos legítimos. O Microsoft Sentinel Deception pode ajudar a gerar sinais de alta confiança e qualidade de atribuição. As equipes de segurança também devem monitorar padrões de tráfego de rede distintos associados a ferramentas de varredura e exploração altamente automatizadas.

Resposta

Quando uma atividade maliciosa é detectada, as equipes de segurança devem revisar a atividade de login através do Microsoft Entra ID Protection para identificar sinais de identidade de risco. A telemetria de endpoint deve ser analisada com o Microsoft Defender para Endpoint para execução de processos suspeitos e atividade de shell. As organizações também devem investigar o uso não autorizado de utilitários como curl ou netcat em ambientes afetados.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário visa estabelecer um canal C2 persistente usando o kit de ferramentas ARTEX. Para evitar a detecção simples baseada em assinatura de apenas um RAT ou apenas uma ferramenta de rede, eles tentam combiná-los em uma única string de execução. O objetivo é executar um comando que imite o padrão específico de string nc.exe -l -p 4444 -e WISP.exe para ver se o SOC recebe um alerta. Isso simula o momento em que o agente ARTEX tenta alavancar o Netcat para suas capacidades de acesso remoto.

• Script de Teste de Regressão:

  # Este script simula o padrão específico de linha de comando necessário para acionar a condição 'AND'.
  # Nota: Usamos 'cmd /c' para garantir que a linha de comando seja capturada claramente na telemetria de processos.
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "Simulando padrão ARTEX: $SimulatedCommand"
  
  # Usamos start-process para acionar a criação de um processo com a linha de comando específica
  # Usamos um argumento fictício para evitar que o script tente realmente executar um nc.exe inexistente se possível,
  # mas para o bem da regra, a string DEVE estar no campo CommandLine.
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• Comandos de Limpeza:

  # Remova quaisquer artefatos criados durante a simulação
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "Limpeza completa."