Хакери използват ИИ агенти от ARTEX за автоматизиране на атаки срещу Active Directory, Kerberoasting и странично движение

Хакери вече използват инструмент с изкуствен интелект с отворен код, наречен ARTEX, за да провеждат самостоятелно големи части от пробив в мрежата. Инструментът може да картографира Windows мрежа, да открадне пароли на сервизни акаунти и да опита да се разпространи към домейн контролери с много малка човешка помощ.

Той прави това за секунди, а не за часове. ARTEX е платформа с множество агенти за тестове за проникване и командване и контрол (C2), написана на Go. Екипите по сигурност създадоха този вид инструмент за тестване, но престъпници и предполагаеми групи, свързани с държави, са го възприели.

Оригиналният му автор премахна кода от GitHub през октомври 2026 г. поради злоупотребите, но копия все още се разпространяват чрез разклонения от общността, включително ScopeWeaver и платена версия, наречена ARTEX PRO.

Изследователи от Google Threat Intelligence Group към Google Cloud и Mandiant идентифицираха активността по време на работа по реакция при инциденти.

Те наблюдават използването на ARTEX от края на август 2026 г. Жертвите включват организации в държавния сектор, технологиите, химическата промишленост, производството и телекомуникациите.

Microsoft също свърза инструмента с група, обвързана с Китай, в кампания срещу среди на Microsoft 365, която е използвала откраднати идентификационни данни за ConnectWise.

Хакери използват ИИ агенти от ARTEX

ARTEX разделя атаката на шест подагента. Атакуващият му задава цел и някои откраднати идентификационни данни, а рамката превръща тази цел в команди. В няколко случая нарушителите са предали на ARTEX валидни данни за вход и са му указали да изпълни следващите етапи.

Веднъж попаднал вътре, ARTEX е изпълнил PowerShell скриптове срещу домейн контролер и сървър за федерация. Тези скриптове са проверили потребителски имена, изброили са управлявани сервизни акаунти и са прегледали шаблони на Active Directory Certificate Services.

Те също така са картографирали хиляди акаунти за сигурност в различни структури от домейни (forests). В един от случаите инструментът е извлякъл повече от 110 000 обекта от Active Directory и е прочел групата Domain Admins.

Kerberoasting е била ключова стъпка. ARTEX е поискал сервизни билети (service tickets) за акаунти, свързани с имена на услуги, които атакуващите могат да разбият офлайн, за да възстановят паролите.

Това е същият основен трик, наблюдаван при техниката Ghost SPN Kerberoasting, но тук работата е свършена от машина. След пауза за офлайн разбиване инструментът е изпълнил DCSync скриптове и е взел ключа krbtgt на домейна, идентификационните данни за синхронизация с облака и хешовете на домейн контролера.

Кражбата на тези хешове е опасна, тъй като може да доведе до фалшифицирани билети, както беше обяснено в доклада за това как атакуващите се представят за домейн контролери.

ARTEX също така се е опитал да се прехвърли върху домейн контролери със скриптове за Pass-the-Ticket, WinRM, Kerberos relay и Pass-the-Hash. В един случай не е успял поради ограничения на токените за услуги на Windows, а защитата на крайните точки е блокирала останалото, преди защитниците да изолират сървъра.

Машинна скорост, шумни следи и по-широка тенденция

От Google заявиха, че инструментът работи със скорост, с която никой човек не би могъл да се мери. Единични изблици на активност са продължавали около 2 до 25 секунди, а един случай е показал 27 събития за 23 секунди. Когато даден скрипт е бил твърде голям, ARTEX го е съкращавал и го е стартирал отново за около 10 секунди.

Wiz проследява една кампания с ARTEX, която Google нарича UNC7228 и която се припокрива със STORM-0940 на Microsoft. Този злонамерен субект често е преминавал от първия си компрометиран акаунт до дълбок системен достъп за около четири часа, а веднъж и за 15 минути.

Инструментът обаче работи небрежно. В един случай той е създал 240 събития в логовете, докато се е опитвал да внедри уеб шелове чрез лог файлове на MySQL, а неговите подагенти изглежда са се презаписвали взаимно.

Според Google ARTEX жертва прикритостта за сметка на скоростта, което дава на защитниците нещо, което да засекат. Тенденцията също се разпространява. Друга група е използвала ИИ агенти, за да достигне права на администратор на домейн, както бе наблюдавано, когато операторите на рансъмуера Aur0ra използваха агенти на Cursor.

От Google посочват, че тези инструменти не променят методите за атака. Те само съкращават времето, необходимо за свързването им във верига. Техният съвет е да се изолират администраторските системи, да се използват краткотрайни идентификационни данни, да се ограничи достъпът, да се сегментират мрежите и да се следи за необичайно поведение.

Google също така отбелязва, че статичните индикатори ще пропуснат голяма част от тази активност, тъй като атакуващите използват валидни акаунти и нормални администраторски инструменти.

Индикатори за компрометиране (IoC):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно резолване или отваряне на хипервръзки. Възстановявайте ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.