Az ARTEX-et használó Storm-0940 több IT-szolgáltatót támad
Több IT- és szoftvervállalatot vett célba egy ARTEX-et használó támadó, amely identitásszolgáltatók, Microsoft 365-integrációk és ügyféladatok ellen indított automatizált próbálkozásokat. A Wiz megfigyelései átfednek a Microsoft Storm-0940-ről szóló jelentésével, de a cég szerint a kampány más szoftverszektorokra is kiterjed.
- Az ARTEX-et használó szereplő több IT- és szoftverbeszállítót célzott.
- A támadások Okta, Entra, Cognito és Microsoft 365-integrációk ellen irányultak.
- Az ARTEX nyílt forráskódú projektként indult, majd október 8-án zárttá vált.
- A támadó automatizált jelszópróbálgatást és fiók-visszaállítási visszaéléseket végzett.
- A Wiz szerint a módszer tartós, összehangolt és automatikusan alkalmazkodó.
Identitásszolgáltatók és ellátási láncok a célkeresztben
A Wiz 2026 októberében azonosított egy szereplőt, amely az ARTEX nevű autonóm mesterségesintelligencia-alapú penetrációs tesztelő ügynökhöz kapcsolódó eszközökkel támadott több IT- és szoftverbeszállítót. A megfigyelt tevékenység az Okta, az Entra és a Cognito identitásszolgáltatókat, valamint a Microsoft 365-integrációk visszaélésre alkalmas pontjait célozta.
A támadó ismételten próbált hitelesítési megkerüléseket találni, API-kat feltérképezni és hozzáférni a megtámadott vállalatok ügyféladataihoz. A Wiz szerint a megfigyelések egybevágnak a Microsoft friss jelentésével, amely a Storm-0940 nevű, kínai állami szereplőhöz igazodó támadót kapcsolta egy olyan ellátásilánc-támadáshoz, amelyben ellopott beszállítói hitelesítő adatokkal értek el további Microsoft 365-bérlőket.
A Wiz ugyanakkor ugyanazt az infrastruktúrát, eszközkészletet és támadási mintázatot az egész szektorban is észlelte. A cég az azonosított technikák és kompromittálódási mutatók alapján más szoftverszektorok felé terjeszkedő ellátásilánc-kompromittálási kísérleteket is azonosított.
Nyílt forráskódú eszközből támadási platform
Az ARTEX nyílt forráskódú, autonóm penetrációs tesztelési keretrendszer. Egy kínai fejlesztő 2026 júliusában tette közzé a GitHubon, szeptemberben pedig megnyerte a Baidu Agent+ vörös csapat versenyét. A használatához az operátor megad egy célt és egy feladatot, ezután egy tervezőügynök választja ki a következő lépést. A munkát végző ügynökök olyan eszközöket futtatnak, mint az nmap, a curl és az Impacket, az eredmények pedig egy közös eszköz- és megállapítási gráfba kerülnek.
A támadók heteken belül használni kezdték a rendszert. Az ARTEX nyomai szeptember végén dél-koreai bankok, októberben pedig japán vállalatok elleni támadásokban is felbukkantak. A Microsoft és a Zscaler időközben két különálló szereplőhöz kötötte az eszközt. A fejlesztő október 8-án zárttá tette a forráskódot, addigra azonban a projekt több mint 12 000 forkot ért el.
Ismétlődő automatizált módszerek
A vizsgált környezetekben a támadás hasonló sorrendet követett. Az ügynök először JavaScript-csomagokat, forrástérképeket, futási konfigurációkat és Swagger vagy OpenAPI-dokumentációt töltött le, hogy feltérképezze az alkalmazások belső API-útvonalait. Röviddel ezután ezeket az útvonalakat név szerint is meghívta.
A hitelesítési próbálkozások között OAuth-visszahívások és állapotparaméterek módosítása, aláíratlan JWT-k tesztelése, valamint SSO- és Microsoft 365-specifikus végpontok vizsgálata szerepelt. Az ügynök jelszópróbálgatást végzett vállalati Okta- és Entra-környezetekben, emellett jelszó-visszaállítási, felhasználónév-visszaállítási, aktiválási és visszaállítási tokeneket kezelő végpontokat is ismételten meghívott.
Ha a regisztráció engedélyezett volt, eldobható e-mail-címmel hozott létre fiókot, majd más felhasználók adataihoz próbált hozzáférni. A bérlők elkülönítését kiszámítható azonosítók módosításával és jogosulatlan, bérlők közötti adathozzáférés tesztelésével vizsgálta. Blokkolás esetén IP-címet és felhasználói ügynököt váltott.
Tartós próbálkozások, gyors alkalmazkodás
A Wiz HTTP-hozzáférési naplókat, AWS Cognito-eseményeket, Entra-bejelentkezési adatokat és Okta-hitelesítési naplókat elemzett. A Microsoft OAuth-folyamatoknál a támadó hamis kódokat és hibás állapotparamétereket küldött, illetve aláíratlan JWT-kkel is próbált hitelesítést megkerülni. Egy ilyen terhelés két perc alatt több mint 60 SSO-útvonal-változatot érintett.
A jelszópróbálgatási kampányok több száz felhasználót érintő, összehangolt hullámokban zajlottak. Az egyes hullámokhoz külön felhasználói ügynök tartozott, a hitelesítési kísérletek közötti medián időköz szigorúan egy másodperc volt, a kampányok pedig 20 és 60 perc között tartottak. Elsősorban szoftvermérnökökhöz tartozó fiókokat céloztak, egyes felhasználóknál több mint egy tucat bejelentkezési kísérlettel.
Egyes munkamenetek 24 és 30 órán át folytatódtak. A Wiz szerint a legtöbb próbálkozás sikertelen volt, a kockázatot azonban az adja, hogy az autonóm ügynök folyamatosan ismétel és alkalmazkodik. A cég álláspontja szerint a lépések automatikus láncolása, a korábbi eredmények felhasználása és a védelmi intézkedésekhez való gyors igazodás egyértelműen ügynökalapú támadásra utal.
