ARTEX atakuje finanse i sekrety z GitHuba. Dwa raporty Microsoftu

Co Microsoft opisał w nowych raportach o ARTEX

Oba teksty kontynuują serię Microsoftu o ARTEX. Wcześniej, 21 października, firma powiązała to narzędzie z włamaniem przez ConnectWise Cloud Backup przypisanym chińskiej grupie Storm-0940. Nowe raporty pokazują, że z ARTEX korzystają już także zwykli przestępcy nastawieni na zysk, a nie wyłącznie grupy powiązane z państwami.

ARTEX to framework, w którym współpracuje kilka agentów opartych na dużych modelach językowych. Domyślnie korzysta z popularnych narzędzi administracyjnych, takich jak skanery sieci, klienci HTTP i przeglądarka sterowana skryptem. Powstał jako narzędzie do testów bezpieczeństwa, ale napastnicy dostosowali go do prawdziwych ataków. Twórca zamknął kod projektu w październiku, lecz wcześniejsze wersje nadal krążą w sieci.

Wycieki kluczy z GitHuba wykorzystane w kilka minut

Raport z 5 listopada dotyczy sekretów, czyli haseł, kluczy API i certyfikatów aplikacji, które programiści przez pomyłkę opublikowali w kodzie. Według Microsoftu napastnicy wpisywali w wyszukiwarkę GitHuba nazwę firmy, słowa związane z hasłami oraz nazwy usług chmurowych i AI. Agent sam oceniał wyniki i przeprowadzał dalsze kroki przy niewielkim udziale człowieka.

Przejęte dane posłużyły do logowania jako aplikacje w Microsoft Entra ID, przeglądania zasobów Azure, pobierania plików z SharePointa i OneDrive, odczytu poczty oraz kradzieży sekretów z Key Vault i danych z kont magazynu. Gdy wywołanie API kończyło się błędem, agent poprawiał zapytanie i ponawiał je po kilkudziesięciu sekundach. W części przypadków napastnicy przejęli poświadczenia aplikacji dostawcy obsługującej wielu klientów i użyli ich wobec kolejnych organizacji.

Storm-3358 i ataki na instytucje finansowe

Raport z 6 listopada opisuje grupę Storm-3358, którą Microsoft lokalizuje w Kambodży. Od października używa ona ARTEX razem z klasycznymi skanerami do wyszukiwania słabo zabezpieczonych serwerów w internecie. Po znalezieniu luki, na przykład możliwości anonimowego wgrania pliku, instaluje ogólnodostępne narzędzia zdalnego dostępu, które pozwalają jej zostać w sieci ofiary i przemieszczać się po niej.

Microsoft nie podaje liczby poszkodowanych ani nazw instytucji. Według raportu infrastruktura grupy była aktywna jeszcze 6 listopada. To kolejny po koreańskich bankach przypadek, w którym ARTEX trafia do sektora finansowego.

Co sprawdzić w firmie

Zalecenia Microsoftu dotyczą głównie higieny poświadczeń, a nie samego wykrywania ARTEX. Firma podkreśla, że blokowanie charakterystycznych śladów narzędzia nie wystarczy, bo agent szybko je zmienia. Najważniejsze działania wymieniamy poniżej w kolejności, w jakiej warto je wykonać.

1. Uznaj każdy klucz lub hasło, które trafiło do publicznego repozytorium, za przejęte i wymień je, nawet jeśli plik już poprawiono lub usunięto.
2. Włącz skanowanie sekretów i blokadę ich wysyłania w GitHubie lub Azure DevOps.
3. Zastąp hasła aplikacji tożsamościami zarządzanymi albo poświadczeniami federacyjnymi i ogranicz uprawnienia kont usług do niezbędnego minimum.
4. Przejrzyj logi logowań aplikacji w Entra ID i szukaj jednego adresu, który loguje się do wielu aplikacji, albo nieudanej próby, po której szybko następuje udana.
5. Rozważ wabiki i spowalniacze, czyli fałszywe zasoby, które zajmują agenta i zużywają jego budżet. Microsoft podaje, że w jego testach ograniczyły ruch trafiający do prawdziwych systemów.
6. Jeśli obsługujesz innych klientów jako dostawca usług IT, sprawdź uprawnienia do ich środowisk i powiadom ich o incydencie.

Znaczenie dla polskich firm

Polskie firmy korzystające z Azure, Microsoft 365 i GitHuba są w tej samej sytuacji co ofiary opisane w raportach. Atak nie wymaga luki w produkcie Microsoftu, wystarczy jeden zapomniany klucz w publicznym kodzie. W naszej ocenie największe ryzyko dotyczy małych zespołów programistycznych i software house'ów, które publikują przykładowe projekty i rzadko rotują poświadczenia.

Incydent z wykorzystaniem przejętych danych może też oznaczać obowiązki prawne. Naruszenie ochrony danych osobowych zgłasza się do UODO w ciągu 72 godzin, a podmioty objęte krajowym systemem cyberbezpieczeństwa zgłaszają incydenty do właściwego CSIRT, na przykład CERT Polska.

Czego nie wiadomo

Microsoft nie ujawnił, jakich modeli językowych używali napastnicy, ilu organizacji dotyczą ataki ani czy wśród ofiar są firmy z Europy. Przypisanie ataków grupie Storm-3358 i lokalizacja w Kambodży to ocena Microsoftu, której nie potwierdziły niezależne źródła. Pominęliśmy adresy infrastruktury i szczegóły techniczne ataków, które publikuje raport dla zespołów bezpieczeństwa.