ARTEX AI: Kỷ nguyên tấn công mạng tự động hóa với tốc độ máy

• Tự động hóa toàn diện: ARTEX AI sử dụng hệ thống đa tác nhân (multi-agent) để tự động hóa từ khâu trinh sát, khai thác lỗ hổng đến leo thang đặc quyền.
• Tốc độ tấn công: Các chiến dịch thực tế ghi nhận khả năng thực thi hàng chục sự kiện tấn công chỉ trong vài chục giây, vượt xa tốc độ phản ứng của con người.
• Mục tiêu đa dạng: Khung tấn công này đang được các nhóm APT như Storm-0940 và VAPOR PANDA sử dụng để nhắm vào hạ tầng đám mây và danh tính doanh nghiệp.
• Chiến lược phòng thủ: Cần tập trung giám sát các danh tính phi con người (non-human identities) và phát hiện các chuỗi hành vi bất thường thay vì chỉ dựa vào các cảnh báo đơn lẻ.

Các khung tấn công dựa trên trí tuệ nhân tạo (AI-powered offensive frameworks) đang trở thành mối đe dọa nghiêm trọng, cho phép kẻ tấn công chuyển đổi từ việc đánh cắp thông tin xác thực sang leo thang đặc quyền trên đám mây, di chuyển ngang (lateral movement) và đánh cắp dữ liệu chỉ trong vài phút. Các chiến dịch sử dụng ARTEX gần đây cho thấy các tổ chức cần phải tư duy lại cách thức phát hiện và ngăn chặn các cuộc xâm nhập tự động.

ARTEX AI là gì?

ARTEX là một khung kiểm thử thâm nhập và bảo mật tấn công được thiết kế để tự động hóa các giai đoạn khác nhau của một cuộc đánh giá bảo mật. Được phát hành công khai trên GitHub vào tháng 7 năm 2026, nó được xây dựng như một hệ thống đa tác nhân có khả năng phối hợp trinh sát, đánh giá lỗ hổng, khai thác và các hoạt động sau khi xâm nhập.

Kiến trúc của ARTEX được viết bằng ngôn ngữ Go và bao gồm giao diện quản lý dựa trên web được xây dựng với Next.js. Thay vì hoạt động như một chatbot đơn giản, ARTEX có thể sử dụng các công cụ có sẵn, kiểm tra kết quả đầu ra và điều chỉnh các hành động tiếp theo dựa trên những gì nó khám phá được.

Quy trình vận hành tự động

Một quy trình làm việc điển hình liên quan đến việc người vận hành xác định mục tiêu và mục tiêu cụ thể. Hệ thống sau đó chia mục tiêu đó thành các nhiệm vụ nhỏ hơn, ủy quyền cho các tác nhân chuyên biệt và ghi lại các tài sản, thông tin xác thực, lỗ hổng và các phát hiện khác vào một đồ thị chia sẻ. Điều này cho phép các tác nhân xây dựng dựa trên những khám phá trước đó thay vì phải bắt đầu lại từ đầu.

Các cuộc tấn công thực tế nhắm vào doanh nghiệp

Các nhà nghiên cứu bảo mật đã ghi nhận nhiều chiến dịch liên quan đến ARTEX. Những cuộc điều tra này cho thấy các cách thức khác nhau mà cùng một khung tấn công có thể bị lạm dụng. Không phải tất cả các hoạt động được báo cáo đều thuộc về cùng một tác nhân đe dọa, và các nỗ lực truy cập hệ thống không nên bị nhầm lẫn với các cuộc xâm nhập đã được xác nhận.

Storm-0940 và chiến dịch nhắm vào Microsoft 365

Vào ngày 21 tháng 10 năm 2026, Microsoft Threat Intelligence báo cáo rằng Storm-0940 đã sử dụng ARTEX để tự động hóa các cuộc tấn công nhắm vào nhiều ngành công nghiệp. Một sự cố đặc biệt nghiêm trọng liên quan đến việc truy cập trái phép vào thông tin xác thực ứng dụng liên quan đến ConnectWise Cloud Backup.

VAPOR PANDA và hoạt động gián điệp

CrowdStrike đã công bố một cuộc điều tra vào ngày 29 tháng 10 năm 2026, ghi nhận việc sử dụng ARTEX bởi VAPOR PANDA, một nhóm gián điệp có liên hệ với Trung Quốc. Chiến dịch này nhắm vào hơn 200 tổ chức trên toàn thế giới, bao gồm chính phủ, viễn thông và quốc phòng. Nhóm này kết hợp ARTEX với DeepSeek và các mô hình AI thương mại khác để thực hiện các cuộc xâm nhập đồng thời.

Khuyến nghị phòng thủ và phát hiện

Để đối phó với các cuộc tấn công tự động hóa cao, các đội ngũ bảo mật cần thay đổi chiến lược từ giám sát sự kiện đơn lẻ sang phân tích chuỗi hành vi. Dưới đây là các bước thực thi quan trọng:

• Giám sát danh tính phi con người: Duy trì danh mục các service principals, ứng dụng OAuth và API credentials. Điều tra các đăng nhập ứng dụng lạ, đặc biệt là khi đi kèm với việc thêm thông tin xác thực hoặc thay đổi quyền.
• Phát hiện chuỗi hành vi tốc độ cao: Xây dựng các quy tắc phát hiện dựa trên vận tốc sự kiện bất thường. Một chuỗi bao gồm đăng nhập ứng dụng lạ, liệt kê tài nguyên và thay đổi quyền trong vài giây là dấu hiệu cảnh báo đỏ.
• Giám sát Active Directory: Theo dõi các hoạt động liệt kê thư mục bất thường, yêu cầu vé dịch vụ (Kerberoasting) và các hoạt động sao chép thư mục (DCSync).
• Kiểm tra Cloud API: Giám sát việc kiểm tra quyền nhanh, liệt kê tài nguyên bất thường và các thay đổi đột ngột đối với vai trò IAM.

⚠️ Cảnh báo quan trọng: Việc tìm kiếm các tên file như 'artex-probe-*' chỉ là một phần nhỏ. Kẻ tấn công có thể dễ dàng thay đổi tên file và hạ tầng. Hãy tập trung vào việc phát hiện hành vi dựa trên các công cụ quản trị thông thường bị lạm dụng.

Để biết thêm thông tin chi tiết về các kỹ thuật săn tìm mối đe dọa, các tổ chức có thể tham khảo tài liệu từ CISA hoặc các báo cáo kỹ thuật từ các nhà cung cấp giải pháp bảo mật hàng đầu về việc ứng phó với các mối đe dọa tự động hóa.