Microsoft riferisce che Storm-3358 ha iniziato nell’ottobre 2026 a prendere di mira organizzazioni finanziarie usando ARTEX insieme a strumenti automatizzati convenzionali. Secondo Microsoft, il gruppo, motivato da obiettivi economici e con base in Cambogia, si concentra soprattutto sulle organizzazioni finanziarie del Sud-est asiatico; prende di mira anche, in misura minore, grandi realtà finanziarie in altre parti del mondo. Il rapporto di Microsoft Threat Intelligence descrive metodi d’attacco e indicazioni per individuare attività sospette.
Che cos’è ARTEX e come si è svolta l’attività
Microsoft descrive ARTEX come un framework di penetration testing offensivo basato su agenti di intelligenza artificiale. Nel caso di Storm-3358, riferisce che è stato usato insieme ad altri strumenti automatizzati per cercare sistemi accessibili da Internet e sfruttarne le vulnerabilità. Tra i metodi citati figurano il caricamento anonimo di file e la SSRF, o falsificazione di richieste lato server, una tecnica che può indurre un server a inviare richieste verso altre risorse.
Per mantenere l’accesso e spostarsi tra sistemi, Microsoft segnala i trojan di accesso remoto WISP, vshell e AdaptixC2. Gli agenti avrebbero scaricato questi strumenti con programmi come netcat e curl. Nel quadro delle attività collegate ad ARTEX, Microsoft cita anche web shell, abuso di credenziali e identità cloud compromesse, attacchi a forza bruta e password spraying, enumerazione e abuso delle API e sottrazione di database.
Quali segnali e difese indica Microsoft
Microsoft invita a osservare il comportamento nel suo insieme: molte richieste diverse in poco tempo, tentativi ripetuti con variazioni nelle tecniche e passaggi rapidi alle fasi successive dell’attacco. Gli strumenti citati includono Nmap, curl, wget, client HTTP per Python, Norma SDK WebFetch e Chromium senza interfaccia grafica tramite Playwright. Le loro caratteristiche predefinite possono offrire indizi, ma Microsoft avverte che un agente adattivo può modificarle: bloccare quelle impronte da sole non basta.
Microsoft cita anche honeypot, esche, tarpits e falsi successi come misure per deviare o rallentare l’attività automatizzata. Riferisce che nei propri test questi strumenti hanno ridotto il traffico diretto agli asset reali.
Un IOC è un indizio: diventa più utile quando coincide con altri segnali e con il contesto dei sistemi coinvolti.
Microsoft precisa che proxy e VPN possono cambiare gli indirizzi IP di origine, che curl ha anche usi legittimi e che alcuni avvisi possono essere estranei all’attività in esame. Un riscontro va quindi valutato insieme agli eventi circostanti, non isolatamente.
Perché gli indirizzi 178.15 e 178.16 non coincidono
La query ASIM di Microsoft Sentinel contiene l’indirizzo 178.15.54.129; la tabella degli indicatori IOC del rapporto classifica invece 178.16.54.129 come server ARTEX. Sono due indirizzi distinti. La classificazione e la data di prima osservazione, 19 ottobre 2026, si riferiscono a 178.16.54.129; la presenza di 178.15.54.129 nella query non lo qualifica da sola come IOC confermato. Microsoft indicava gli indicatori della tabella come attivi al 6 novembre 2026.
