Microsoft affirme que Storm-3358 a commencé à cibler des organisations financières avec ARTEX en octobre 2026. Le groupe, que Microsoft décrit comme basé au Cambodge et motivé par l’appât du gain, viserait principalement des organisations financières d’Asie du Sud-Est, ainsi qu’un nombre plus réduit de grandes organisations ailleurs dans le monde. Microsoft Threat Intelligence

ARTEX est un cadre d’IA agentique destiné au test d’intrusion offensif. Le rapport de Microsoft décrit son association avec des outils d’automatisation classiques, ainsi que des techniques de détection et de défense.

Du balayage des systèmes à l’accès à distance

Microsoft décrit d’abord le balayage de systèmes accessibles depuis Internet, puis l’exploitation de failles, notamment le téléversement anonyme de fichiers et la falsification de requêtes côté serveur (SSRF). Cette dernière technique consiste à pousser un serveur à envoyer des requêtes à la place de l’attaquant.

Le rapport cite ensuite les chevaux de Troie d’accès à distance WISP, vshell et AdaptixC2, employés pour maintenir l’accès et progresser latéralement dans les réseaux. Les opérateurs auraient notamment utilisé netcat et curl pour télécharger ces outils. Microsoft mentionne aussi l’installation de web shells, l’abus d’identifiants et d’identités cloud compromises, les attaques par force brute et par pulvérisation de mots de passe, l’énumération et l’abus d’API, ainsi que l’extraction de bases de données.

Ces techniques figurent parmi les activités rapportées par Microsoft ; elles ne décrivent pas nécessairement chaque cible de la même façon.

Les comportements comptent autant que les outils

Parmi les signaux cités par Microsoft figurent des volumes élevés de requêtes variées sur une courte période, des tentatives répétées avec des méthodes différentes et une progression rapide vers les étapes suivantes d’une attaque. ARTEX peut s’appuyer sur des outils courants comme Nmap, curl, wget, des clients HTTP Python, Norma SDK WebFetch ou Chromium sans interface graphique piloté par Playwright. Leurs caractéristiques par défaut peuvent aider à repérer une activité, mais Microsoft prévient qu’un agent adaptatif peut les modifier : bloquer ces seules signatures ne suffit pas.

Pour repérer une attaque automatisée, examinez l’enchaînement et le rythme des actions, pas seulement le nom de l’outil employé.

Microsoft recommande aussi des honeypots, des leurres, des tarpits qui ralentissent l’activité et de faux succès simulés pour détourner ou freiner les attaques automatisées. L’entreprise indique que ces dispositifs ont réduit le trafic atteignant les actifs réels lors de ses propres essais.

Les adresses IP ne sont pas interchangeables

La requête Sentinel de Microsoft contient l’adresse 178.15.54.129. Son tableau d’indicateurs classe 178.16.54.129 comme serveur ARTEX et lui attribue une première observation au 19 octobre 2026. Ce sont deux adresses distinctes : la présence de 178.15.54.129 dans la requête ne lui confère pas le statut que le tableau attribue à 178.16.54.129.

Microsoft indiquait que les indicateurs de son tableau étaient actifs au 6 novembre 2026. L’entreprise précise également que les proxys et les VPN peuvent modifier les adresses IP sources, que curl a des usages légitimes et que certaines alertes peuvent être sans rapport avec l’activité recherchée. Une correspondance est donc un signal à examiner dans le contexte des systèmes concernés, pas une conclusion sur une compromission.