هکرها اکنون از یک ابزار متن‌باز هوش مصنوعی به نام ARTEX برای خودکارسازی بخش‌های بزرگی از فرآیند نفوذ به شبکه استفاده می‌کنند. این ابزار قادر است شبکه‌های ویندوزی را نقشه‌برداری کرده، رمز عبور حساب‌های سرویس (Service accounts) را سرقت کند و با کمترین دخالت انسانی، به سمت کنترل‌کننده‌های دامنه (Domain Controllers) حرکت کند.
سرعت عملیاتی خیره‌کننده
برخلاف روش‌های سنتی که ساعت‌ها زمان می‌برند، ARTEX این عملیات را در عرض چند ثانیه انجام می‌دهد. این پلتفرم که با زبان Go نوشته شده است، یک سیستم چند-عاملی (Multi-agent) برای تست نفوذ و فرماندهی و کنترل (C2) است. اگرچه این ابزار در ابتدا برای اهداف دفاعی و تست نفوذ ساخته شده بود، اما اکنون توسط گروه‌های مجرمانه و گروه‌های مرتبط با دولت‌ها (State-linked groups) مورد سوءاستفاده قرار گرفته است.
تکنیک‌های مورد استفاده در حملات
محققان گوگل و Mandiant دریافتند که این ابزار از شش زیر-عامل (Sub-agents) برای اجرای حملات استفاده می‌کند. پس از ورود به شبکه، ARTEX مراحل زیر را طی می‌کند:
- نقشه‌برداری گسترده: استخراج اطلاعات از هزاران حساب امنیتی در جنگل‌های Active Directory.
- حمله Kerberoasting: درخواست توکن‌های سرویس برای استخراج رمز عبورها جهت شکستن آن‌ها به صورت آفلاین.
- استخراج کلیدهای حساس: اجرای اسکریپت‌های DCSSync برای سرقت کلید krbtgt و هش‌های کنترل‌کننده دامنه.
- حرکت جانبی (Lateral Movement): استفاده از تکنیک‌هایی مانند Pass-the-Ticket، WinRM، Kerberos relay و Pass-the-Hash برای گسترش نفوذ.
گزارش‌ها نشان می‌دهد که این ابزار با سرعت بسیار بالایی عمل می‌کند؛ به طوری که برخی فعالیت‌ها تنها در عرض ۲ تا ۲۵ ثانیه انجام می‌شوند. با این حال، به دلیل سرعت بالا و حجم بالای عملیات، ردپای این ابزار در لاگ‌ها (Logs) بسیار پرسرصدا و قابل شناسایی است.
توصیه‌های امنیتی برای تیم‌های SOC
با توجه به اینکه این ابزار از ابزارهای مدیریتی استاندارد و حساب‌های معتبر استفاده می‌کند، شناسایی آن از طریق نشانگرهای ایستا (Static indicators) دشوار است. متخصصان توصیه می‌کنند:
- سیستم‌های مدیریتی را ایزوله کنید.
- از اعتبارنامه‌های با عمر کوتاه (Short-lived credentials) استفاده کنید.
- بخش‌بندی شبکه (Network segmentation) را تقویت کنید.
- رفتارهای غیرعادی در سطح شبکه و حساب‌های مدیریتی را به دقت رصد کنید.
