随着网络犯罪分子瞄准金融机构，ARTEX滥用行为扩大

摘要

经济动机的威胁行为者 Storm-3358 使用 ARTEX agentic AI 进攻框架以金融机构为目标。这位行为者利用 AI 以机器速度加速扫描、利用漏洞和横向移动。ARTEX 结合常规进攻工具来利用网络漏洞并部署多个远程访问木马。

调查

微软威胁情报观察到 Storm-3358 使用 ARTEX 扫描面向互联网的系统并利用 SSRF 和匿名文件上传等弱点。调查发现使用 WISP、vshell 和 AdaptixC2 RATs 进行持久性。该行为者还滥用被破坏的云身份和被盗凭证以支持数据外泄。

缓解措施

组织应部署防御蜜罐、诱饵和坑洞以将自主 AI 代理重定向离开合法资产。微软 Sentinel Deception 可以帮助生成高可信度的归因质量信号。安全团队还应监控与高度自动化扫描和利用工具相关的独特网络流量模式。

响应

检测到恶意活动时，安全团队应通过 Microsoft Entra ID 保护审查登录活动以识别高风险身份信号。应使用 Microsoft Defender for Endpoint 分析端点遥测数据，检测可疑的进程执行和 shell 活动。组织还应搜索在受影响环境中未经授权使用工具如 curl 或 netcat 的行为。

模拟执行

• 攻击叙述与指令： 对手旨在使用 ARTEX 工具包建立持久的 C2 渠道。为规避简单的基于签名的检测仅针对远程访问木马或网络工具，他们试图将二者结合在一个执行字符串中。目标是运行一个模拟特定字符串模式的命令 nc.exe -l -p 4444 -e WISP.exe 观察 SOC 是否收到警报。这模拟了 ARTEX 代理试图利用 Netcat 进行远程访问时的场景。

• 回归测试脚本：

  # 该脚本模拟触发‘AND’条件所需的特定命令行模式。
  # 注意：我们使用 'cmd /c' 确保命令行在进程遥测中清晰捕获。
  
  $SimulatedCommand = "C:tempnc.exe -lvp 4444 -e WISP.exe"
  Write-Host "模拟 ARTEX 模式: $SimulatedCommand"
  
  # 我们使用 start-process 触发一个具有特定命令行的进程创建
  # 我们使用一个虚拟参数以防止脚本实际尝试执行不存在的 nc.exe ，
  # 但为了规则，字符串必须在 CommandLine 字段中。
  Start-Process "cmd.exe" -ArgumentList "/c echo $SimulatedCommand"

• 清理命令：

  # 删除在模拟过程中创建的任何工件
  Remove-Item -Path "C:tempnc.exe" -ErrorAction SilentlyContinue
  Write-Host "清理完成。"