Шторм-0940 розширює атаки ARTEX на ІТ і програмне забезпечення

Резюме

Відстежений як Storm-0940, загроза, яка має зв’язок з Китаєм, використовує ARTEX, автономного агента для тестування проникнення з ШІ, щоб націлитися на IT та програмних постачальників. Атаки зосереджені на постачальниках ідентичності, таких як Okta, Entra та Cognito, щоб виявити слабкі місця в аутентифікації та отримати доступ до даних клієнтів. Загрозливий актор проявляє високоавтоматизовану та адаптивну поведінку, включаючи ротацію IP та часті зміни користувацьких агентів для уникнення виявлення.

Розслідування

Wiz Research ідентифікували активність завдяки аналізу HTTP журналів доступу, телеметрії постачальників ідентичності з AWS Cognito, Entra та Okta, а також артефактів, пов’язаних з ARTEX. Розслідування виявило повторюваний план дій, що включає картографію додатків через вихідні карти, дослідження аутентифікації та зловживання процесами відновлення облікових записів. Кампанію пов’язано з недавньою діяльністю у ланцюгу постачання та націлено на кілька програмних секторів по всьому світу.

Пом’якшення

Захисники повинні впровадити суворе обмеження швидкості на кінцевих точках аутентифікації та відновлення облікових записів. Зміцнення конфігурацій постачальників ідентичності, зокрема OAuth потоків та валідації JWT, має вирішальне значення для зменшення впливу. Організації також повинні контролювати незвичайні сплески у подіях відмови доступу та повторювані патерни, пов’язані з автоматизованою розвідкою.

Реакція

Коли цю активність виявлено, команди безпеки повинні негайно дослідити спалахи невдалих спроб входу та аномальні обсяги подій відмови доступу. Корелюйте телеметрію постачальника ідентичності з журналами веб-сервера, щоб ідентифікувати поведінку автоматизованої розвідки. Застовуйте швидке блокування IP за необхідності та контролюйте спроби повторних дій, які виходять з нової інфраструктури або різноманітних користувацьких агентів.

Додати деталі відповіді, орієнтовані на виявленняУточнити послідовність атаки кампанії

Виконання симуляції

• Розповідь про атаку та команди: Противник проводить розвідку для картографії API-інтерфейсу цілі. Вони починають із спроби завантажити документацію OpenAPI (/swagger/?format=openapi) щоб виявити приховані кінцеві точки. Щоб перевірити надійність маршрутизації веб-сервера та дослідити потенційні “приховані” шляхи або помилки конфігурації, атакуючий одразу слідує за цим запитом до повністю випадкової, неіснуючої URI (/zzz-nonexistent-xyz123). Ця конкретна послідовність розроблена для відповідності поведінковому відбитку кампанії ARTEX.

• Скрипт регресійного тестування:

  #!/bin/bash
  # ARTEX Simulation Script
  # Target: Localhost Web Server
  
  TARGET_URL="http://localhost"
  
  echo "[+] Starting ARTEX Reconnaissance Simulation..."
  
  # Step 1: Trigger selection1 (Accessing Swagger documentation)
  echo "[+] Attempting to access OpenAPI documentation..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/swagger/?format=openapi"
  echo -e "n[+] Selection 1 triggered."
  
  # Step 2: Trigger selection4 (Probing non-existent resource)
  # This is the 'AND' condition required by the rule
  echo "[+] Probing for non-existent resource..."
  curl -s -o /dev/null -w "%{http_code}" "$TARGET_URL/zzz-nonexistent-xyz123"
  echo -e "n[+] Selection 4 triggered."
  
  echo "[+] Simulation complete. Check SIEM for detection."

• Команди очищення:

  # No persistent changes made by the simulation. 
  # If any files were created during testing, remove them:
  rm -f simulation_test_output.log