Microsoft Threat Intelligence berichtet, dass die finanziell motivierte Gruppe Storm-3358 im Oktober 2026 begann, Finanzorganisationen mit ARTEX ins Visier zu nehmen. Der Schwerpunkt lag demnach in Südostasien; außerdem richtete sich die Aktivität gegen eine kleinere Zahl großer Finanzorganisationen weltweit. Microsoft beschreibt ARTEX als agentisches KI-Framework für offensive Penetrationstests. Der Bericht von Microsoft Threat Intelligence ordnet Storm-3358 Kambodscha zu.

Vom Scannen zu Fernzugriffstrojanern

Microsoft zufolge setzte Storm-3358 ARTEX zusammen mit herkömmlichen automatisierten Werkzeugen ein. Die Gruppe scannte Systeme im öffentlichen Internet und nutzte unter anderem Schwachstellen, die anonyme Datei-Uploads oder serverseitige Anfragenfälschung (SSRF) ermöglichten.

Für den dauerhaften Zugriff und die weitere Bewegung im Netzwerk kamen laut Microsoft die Fernzugriffstrojaner WISP, vshell und AdaptixC2 zum Einsatz. Die Angreifer nutzten netcat und curl, um sie herunterzuladen. Microsoft nennt außerdem Web-Shells, den Missbrauch von Zugangsdaten und kompromittierten Cloud-Identitäten, Brute-Force-Angriffe, Password Spraying, das Auflisten und Ausnutzen von APIs sowie das Auslesen von Datenbanken.

Verhaltensmuster und Abwehr

Microsoft empfiehlt, auf das Zusammenspiel und den zeitlichen Ablauf verdächtiger Aktivitäten zu achten: auf viele unterschiedliche Anfragen in kurzer Zeit, wiederholte Versuche mit abgewandelten Techniken und schnelle Übergänge zu weiteren Angriffsschritten. ARTEX greift laut Microsoft auf verbreitete Werkzeuge zurück, darunter Nmap, curl, wget, Python-HTTP-Clients, Norma SDK WebFetch und Headless Chromium über Playwright. Da sich typische Werkzeugmerkmale ändern lassen, reicht es nicht, nur deren Standardmerkmale zu blockieren.

Als weitere Schutzmaßnahmen nennt Microsoft Honeypots, Täuschziele, Tarpits und „Fake Wins“, also scheinbare Erfolge, die Angreifer von echten Systemen weglenken sollen. Microsoft zufolge verringerten diese Maßnahmen in eigenen Tests den Datenverkehr zu realen Ressourcen.

Ein einzelner Treffer ist ein Anlass zur Untersuchung. Aussagekräftiger wird das Bild, wenn Tempo, Wiederholungen und weitere Angriffsschritte zusammen betrachtet werden.

Was die beiden IP-Adressen bedeuten

In einer Microsoft-Sentinel-Abfrage steht die IP-Adresse 178.15.54.129. Die IOC-Tabelle des Berichts führt dagegen 178.16.54.129 als ARTEX-Server und nennt den 19. Oktober 2026 als Datum der ersten Sichtung. Das sind zwei verschiedene Adressen; die Tabelle ordnet 178.16.54.129 ein, während die Abfrage 178.15.54.129 enthält.

Microsoft weist außerdem darauf hin, dass Proxys und VPNs die sichtbaren Quell-IP-Adressen verändern können. curl wird auch für legitime Aufgaben verwendet, und Sicherheitswarnungen können andere Ursachen haben. Ein Treffer bei einer IP-Adresse oder Erkennung ist deshalb ein Ermittlungsansatz, aber für sich genommen kein Beleg für einen Einbruch.