En un informe publicado el 7 de noviembre de 2026, Microsoft Threat Intelligence afirmó que Storm-3358 había comenzado en octubre a apuntar a organizaciones financieras con ARTEX. Microsoft describe al grupo como financieramente motivado y con base en Camboya; sitúa sus objetivos principalmente en el Sudeste Asiático y menciona también un número menor de grandes entidades financieras en otras regiones. El informe de Microsoft detalla las técnicas y señales que, según la compañía, pueden ayudar a investigar esta actividad.

Para investigar actividad automatizada, el ritmo y la secuencia de las acciones aportan contexto que una dirección IP aislada no ofrece.

Del escaneo a la persistencia

Microsoft describe ARTEX como un marco de pruebas de penetración ofensiva con agentes de IA. Storm-3358 lo habría combinado con herramientas automatizadas convencionales para rastrear sistemas conectados a internet y explotar fallos como la carga anónima de archivos y la falsificación de solicitudes del lado del servidor (SSRF).

Según Microsoft, los agentes descargaron los troyanos de acceso remoto WISP, vshell y AdaptixC2 con netcat y curl. El grupo los utilizó para mantener el acceso y moverse lateralmente por los sistemas. Entre las demás técnicas que Microsoft enumera para ataques relacionados con ARTEX figuran las web shells, el abuso de credenciales e identidades en la nube comprometidas, los ataques de fuerza bruta y de pulverización de contraseñas, la enumeración y el abuso de API y la extracción de bases de datos. La lista describe técnicas observadas en la actividad relacionada con ARTEX, no una secuencia que se repita en cada organización.

Qué señales y defensas destaca Microsoft

Microsoft recomienda investigar patrones como muchas solicitudes distintas en poco tiempo, la repetición de intentos con variaciones técnicas y el avance rápido hacia etapas posteriores del ataque. ARTEX puede recurrir a herramientas conocidas, entre ellas Nmap, curl, wget, clientes HTTP de Python, Norma SDK WebFetch y Chromium sin interfaz gráfica mediante Playwright. Como esas huellas pueden cambiar, bloquear las características predeterminadas de las herramientas no basta para detener un agente adaptable.

Microsoft también describe el uso de honeypots, señuelos, tarpits y falsos éxitos para desviar o ralentizar ataques automatizados. La compañía afirma que estas medidas redujeron el tráfico que llegaba a activos reales en sus propias pruebas. Además, advierte que los proxies y las VPN pueden cambiar las direcciones IP de origen, que curl tiene usos legítimos y que algunas alertas de Defender pueden ser ajenas a esta actividad. Por eso, una detección o un indicador sirve como pista para investigar junto con el comportamiento y el contexto de la red.

Por qué aparecen dos direcciones IP distintas

La consulta de Sentinel de Microsoft incluye 178.15.54.129, mientras que su tabla de indicadores identifica 178.16.54.129 como servidor de ARTEX. Son direcciones distintas. La tabla fecha la primera observación de 178.16.54.129 el 19 de octubre de 2026 y la incluía entre los indicadores activos a 6 de noviembre de ese año.

Al revisar una alerta, los equipos de seguridad pueden contrastar la dirección con el patrón de solicitudes y las demás señales de comportamiento. La coincidencia de una IP, especialmente cuando el tráfico puede pasar por proxies o VPN, no equivale por sí sola a una intrusión.