Campanha de Ataque ARTEX Impulsionada por IA Atinge Sete Empresas Financeiras Sul-Coreanas

Resumo

Um ator de ameaça desconhecido, provavelmente motivado por ganhos financeiros, usou o sistema de testes de penetração autônomo ARTEX impulsionado por IA para comprometer várias instituições financeiras sul-coreanas. O atacante utilizou Modelos de Linguagem Grande (LLMs), incluindo DeepSeek e Claude Code, para acelerar a descoberta e exploração de vulnerabilidades. A campanha resultou no roubo de aproximadamente 67.000 registros contendo renda de clientes, empréstimos e outros dados financeiros sensíveis.

Investigação

Investigadores da CrowdStrike rastrearam a atividade após descobrir um diretório aberto e não seguro hospedado no servidor do atacante. O diretório expôs logs de sessão, arquivos de configuração e artefatos de memória que revelaram a metodologia do atacante e características de identificação. Pesquisadores conectaram a operação ao framework ARTEX e identificaram uma rede de endereços IP de proxy usados para acessar APIs externas de LLM.

Mitigação

As organizações devem expandir os inventários de ativos para incluir sistemas de borda, integrações de terceiros e plataformas de suporte móvel. Testes de invasão continusamente automatizados com modelos de IA locais, sem restrições, podem ajudar a descobrir vulnerabilidades com mais frequência do que avaliações anuais tradicionais. Proteger todos os endpoints voltados para a internet contra Referências Inseguras de Objetos Diretos (IDOR) e falhas semelhantes de controle de acesso também é essencial.

Resposta

Quando consultas suspeitas ou acessos não autorizados a endpoints de dados de clientes são detectados, as organizações devem revisar imediatamente os logs de API e os tokens de sessão ativos. Aplicar limites rígidos de taxa nos serviços de busca de ID de cliente para reduzir a enumeração automatizada. As equipes de segurança também devem caçar por ferramentas baseadas em agentes não autorizados e padrões de tráfego incomuns associados à infraestrutura de proxy de LLM conhecida.

Execução de Simulação

Pré-requisito: A Verificação de Pré-voo de Telemetria & Base de Referência deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e têm como objetivo gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um erro de diagnóstico.

• Narrativa & Comandos de Ataque: Um adversário obteve acesso inicial a uma estação de trabalho de desenvolvedor. Para manter a consistência em sua estrutura automatizada de exploração, eles tentam lançar um CLAUDE.md arquivo no diretório temporário do usuário. Este arquivo contém instruções específicas em chinês para guiar um agente baseado em IA por meio de reconhecimento adicional e movimento lateral. O objetivo é ver se o SOC detecta a presença deste arquivo de configuração específico.

• Script de Teste de Regressão:

  # Script de simulação para acionar a regra de detecção
  $targetPath = "$env:TEMPCLAUDE.md"
  $content = "Instruções para Agente de IA: Realizar reconhecimento na rede local."
  
  Write-Host "[+] Criando arquivo sensível: $targetPath"
  Set-Content -Path $targetPath -Value $content
  
  Write-Host "[+] Arquivo criado. Verifique SIEM para detecção."

• Comandos de Limpeza:

  # Limpeza dos artefatos de simulação
  Remove-Item -Path "$env:TEMPCLAUDE.md" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Limpeza concluída."