AIリスク2026年10月22日（木）
④ ARTEXで攻撃はどう進むか、公開サービスから内部ネットワークまで
金融機関を狙った攻撃と、別途行われた実験を手がかりに、エージェントが探索やツール実行をどう加速させるかを考えます。
本文
CrowdStrikeは10月7日、9月末から10月初旬に韓国の金融機関を狙った攻撃でデータが外部に持ち出されたと公表しました。攻撃者の管理下にあるディレクトリから、ARTEXの設定、Claude Codeの作業記録、メモリーファイルを取得しました。当該ARTEXの主なモデルはDeepSeek v4.1-flashで、別のClaude CodeセッションではGLM-5.3とGrok 4.6が使われました。
AhnLabは10月12日、Webシェル、内部探索、認証情報の収集、遠隔操作に関するファイルや、一部の実行の形跡を報告しました。10月14日には別の管理された実験で、ARTEXがファイルアップロード機能の弱点やActiveMQの既知の脆弱性を試し、ツールの結果に応じて次の手順を選ぶ様子を示しました。
- 01
到達可能なサービスを探索
実験ではWeb機能とバックエンドを調べました。
- 02
入口の脆弱性を試す
ファイルアップロード機能とActiveMQの既知の脆弱性を個別に検証しました。
- 03
内部に進む
実験環境ではツールの結果をもとに内部サービスを探索し、追加のコマンドを実行しました。
対応の手順：外部との境界から内部システムまで
- 01
公開サービスを棚卸し
公開、内部、委託先、予備環境を確認し、到達可能な機器やソフトウェアを優先して修正します。
対応策を見る関連情報 1件
TWISA会員企業の対策
公開サービスを棚卸し
公開、内部、委託先、予備環境を確認し、到達可能な機器やソフトウェアを優先して修正します。
- 02
経路ごとに検証
承認を得て、Webのアップロード、API、メッセージングサービス、ネットワーク分離を個別にテストします。
対応策を見る関連情報 1件
TWISA会員企業の対策
経路ごとに検証
承認を得て、Webのアップロード、API、メッセージングサービス、ネットワーク分離を個別にテストします。
- 03
プロセスを追跡
Webサービスの子プロセス、ファイル、外部通信を突き合わせて想定外の実行を見つけます。
対応策を見る関連情報 1件
TWISA会員企業の対策
プロセスを追跡
Webサービスの子プロセス、ファイル、外部通信を突き合わせて想定外の実行を見つけます。
- 04
調査して復旧
ログを保全し、認証情報、内部での横展開、データアクセスへの影響を調べてから復旧します。
対応策を見る関連情報 1件
TWISA会員企業の対策
調査して復旧
ログを保全し、認証情報、内部での横展開、データアクセスへの影響を調べてから復旧します。
公開サービス、ホスト、運用アカウント、内部データ
許可された業務通信のみを通し、各層で防御を行います。
- 01
公開サービスを棚卸し
公開サービス、ホスト、運用アカウント、内部データ
対策を検証公開、内部、委託先、予備環境を確認し、到達可能な機器やソフトウェアを優先して修正します。
- 02
経路ごとに検証
公開サービス、ホスト、運用アカウント、内部データ
対策を検証承認を得て、Webのアップロード、API、メッセージングサービス、ネットワーク分離を個別にテストします。
- 03
プロセスを追跡
公開サービス、ホスト、運用アカウント、内部データ
対策を検証Webサービスの子プロセス、ファイル、外部通信を突き合わせて想定外の実行を見つけます。
各層のログと通信データを集約し、監視と対応に活用します。
- 調査して復旧ログを保全し、認証情報、内部での横展開、データアクセスへの影響を調べてから復旧します。
TWISA会員のソリューション
公開サービスを棚卸し
公開、内部、委託先、予備環境を確認し、到達可能な機器やソフトウェアを優先して修正します。
経路ごとに検証
承認を得て、Webのアップロード、API、メッセージングサービス、ネットワーク分離を個別にテストします。
プロセスを追跡
Webサービスの子プロセス、ファイル、外部通信を突き合わせて想定外の実行を見つけます。
調査して復旧
ログを保全し、認証情報、内部での横展開、データアクセスへの影響を調べてから復旧します。
CIXでの議論につなげる
今後のCIXには、外部から到達できるサービスを一つ選び、そこから攻撃者が次にアクセスできる先を整理して持ち寄れます。Web、ホスト、ネットワークの各層で独立した対策が機能するかを議論できます。
情報源と関連資料
更新日：2026/10/25。