Agentes de IA ARTEX automatizam ataques ao Active Directory

O problema central é que o ARTEX não precisa explorar uma falha: ele usa contas válidas e ferramentas administrativas normais, em um ritmo que nenhum operador humano consegue igualar. Em vários casos relatados pelo Google, os invasores entregaram logins válidos ao agente e mandaram executar as etapas seguintes do ataque.

Os números explicam a pressão sobre os defensores. Em um caso o agente extraiu mais de 110.000 objetos do Active Directory. A atividade vinha em rajadas curtas de cerca de 2 a 25 segundos, e um caso registrou 27 eventos em 23 segundos. Algumas intrusões foram da primeira conta comprometida a um acesso profundo em cerca de quatro horas, e uma o fez em 15 minutos. Em outro caso a ferramenta gerou 240 eventos de log ao tentar instalar web shells.

Por que as defesas tradicionais falham? Indicadores de comprometimento estáticos pegam arquivos e endereços conhecidos, mas um agente que entra com uma conta real e consulta o diretório parece um administrador fazendo o trabalho de rotina. Uma revisão semanal de logs, ou um chamado que espera o próximo dia útil, não acompanha um ataque de quatro horas, ou de 15 minutos.

Dois fatos elevam o risco. O autor original removeu o código do GitHub em outubro de 2026, mas já existem forks, entre eles o ScopeWeaver e uma edição paga chamada ARTEX PRO. Quando uma capacidade é copiada e comercializada, ela não desaparece com o repositório original. É de se esperar que mais grupos, inclusive menos sofisticados, a utilizem.

Uma intrusão no estilo ARTEX segue o caminho clássico de ataque ao Active Directory, com agentes cuidando de cada etapa de forma automática.

1. Acesso inicial com uma conta válida. O operador obtém um login funcional, por exemplo por credenciais roubadas de ferramentas de administração remota, e o entrega ao framework.
2. Mapeamento do domínio. Os agentes consultam o Active Directory e listam usuários, grupos, computadores e relações de confiança. Foi assim que um caso chegou a mais de 110.000 objetos.
3. Kerberoasting. O agente solicita tickets de serviço de contas que executam serviços e tenta quebrá-los offline para recuperar as senhas das contas de serviço. Contas com senhas fracas e antigas e permissões amplas são o alvo habitual.
4. DCSync. Com privilégios suficientes, o atacante imita um controlador de domínio e pede a replicação dos dados de senha, obtendo credenciais de todo o domínio.
5. Movimentação lateral até os controladores de domínio. Os agentes reutilizam as credenciais coletadas para chegar aos sistemas que controlam a identidade.
6. Persistência e limpeza. Os relatos mencionam web shells, instâncias persistentes na nuvem usadas como salto e saída de comandos enviada pelo serviço público webhook.site.

O que os defensores podem procurar? O Google e a reportagem listam alguns rastros concretos: o domínio webhook.site recebendo saída de comandos por URLs rotativas, nomes de arquivo no padrão artex-probe-*, web shells JSP chamados cl1217.jsp, f1219a.jsp e z1219.jsp, uma conta chamada ArtexProbe marcada como administradora e comandos SQL que ativam o log geral de consultas. Nenhum hash de arquivo foi publicado. Como o comportamento usa ferramentas legítimas, a detecção precisa se concentrar em padrões como rajadas de consultas ao diretório, solicitações de tickets incomuns e pedidos de replicação vindos de máquinas que não são controladores de domínio.

O desenho da rede também conta. Redes planas deixam um agente chegar aos controladores de domínio em poucos saltos, enquanto uma conectividade multioperadora segmentada, com políticas entre sedes e camadas de servidores, torna cada salto mais difícil e mais ruidoso.

Reforçar o Active Directory e encurtar o tempo de detecção reduz a chance de um login roubado virar um incidente que atinge todo o domínio. As recomendações do Google são práticas e se traduzem em controles que a maioria das empresas pode iniciar neste trimestre.

Isole os sistemas administrativos. Os administradores de domínio devem entrar apenas a partir de estações e servidores dedicados e reforçados, nunca de máquinas do dia a dia, onde phishing e infostealers são comuns. Isso rompe o caminho entre uma sessão de usuário roubada e o administrador de domínio.

Use credenciais de curta duração. Quanto menos uma credencial vive, menos tempo um agente tem para usá-la. Prefira acesso privilegiado sob demanda, faça a rotação das senhas das contas de serviço e substitua contas de serviço antigas por contas de serviço gerenciadas, com senhas longas, aleatórias e trocadas automaticamente. Isso também reduz o impacto do Kerberoasting.

Limite o acesso. Aplique o privilégio mínimo às contas de serviço e a quem pode solicitar a replicação do diretório, para que o DCSync não esteja disponível a contas que não precisam dele.

Segmente as redes. Separe as redes de usuários, as de servidores e os controladores de domínio, e controle o tráfego entre elas. Uma WAN dedicada e bem projetada com política de tráfego clara dá às equipes de segurança a visibilidade de que precisam.

Observe comportamentos anômalos. Gere alertas para rajadas de consultas ao diretório, solicitações incomuns de tickets Kerberos, novas contas de administrador e pedidos de replicação de máquinas que não são controladores de domínio. A detecção 24 horas por dia importa porque esses ataques não esperam o horário comercial.

O ganho para o negócio é concreto: menos interrupções e eventos de ransomware, menor exposição regulatória e de notificação, e recuperações mais rápidas porque os backups e os sistemas de identidade ficam fora do alcance do atacante. Uma estratégia de infraestrutura de TI e backup resiliente completa o quadro.

A HIT Communications reúne mais de 30 anos de experiência operando conectividade corporativa e serviços de TI na América Latina, nos Estados Unidos e na Europa, e combina rede, segurança e infraestrutura em um único parceiro.

Contra ataques ao Active Directory impulsionados por IA, três capacidades da HIT trabalham juntas. Nossos serviços gerenciados de cibersegurança, com centro de operações de segurança 24/7, SIEM e detecção e resposta gerenciadas, observam os comportamentos descritos e dão à sua equipe uma resposta humana quando o alerta é real. Nosso desenho de conectividade multioperadora e SD-WAN segmenta sedes e tráfego para que uma conta comprometida não tenha um caminho plano até os seus controladores de domínio. Nossos serviços gerenciados de TI e backup em nuvem reforçam servidores, cuidam das atualizações e mantêm backups limpos e isolados para que você se recupere se o pior acontecer.

Começamos com uma avaliação prática: onde seus controladores de domínio e contas de serviço estão expostos, quais caminhos de administração continuam abertos, com que rapidez o seu monitoramento atual perceberia uma rajada de consultas ao diretório e até onde chegaria no seu ambiente um ataque de quatro horas. A partir daí priorizamos primeiro as mudanças que mais reduzem o risco.

O ARTEX mostra que agentes de IA já fazem parte do arsenal do atacante, e que o Active Directory é o primeiro alvo que eles buscam. As técnicas são antigas, a velocidade é nova, e uma detecção que depende de pessoas lendo logs depois do fato não vai acompanhar.

Comece esta semana com três ações: revise quem tem direitos de administrador de domínio e de replicação e remova o que não for necessário, localize e troque as senhas antigas de contas de serviço, e confirme que alguém monitora seus controladores de domínio 24 horas por dia, com alertas ajustados para rajadas de consultas ao diretório e solicitações de tickets incomuns. Se quiser apoio com a avaliação, a segmentação ou o monitoramento 24/7, fale com a equipe da HIT Communications.