Microsoft meldt dat Storm-3358 in oktober 2026 financiële organisaties met ARTEX begon aan te vallen. De financieel gemotiveerde groep richtte zich volgens Microsoft Threat Intelligence vooral op financiële organisaties in Zuidoost-Azië, en daarnaast op een kleiner aantal grote instellingen elders. Microsoft typeert Storm-3358 als een vanuit Cambodja opererende groep.
ARTEX combineerde AI met bestaande hulpmiddelen
Microsoft beschrijft ARTEX als een agentisch AI-framework voor offensieve penetratietests. Storm-3358 combineerde het volgens het bedrijf met conventionele automatisering om systemen te scannen die via internet bereikbaar waren. De beschreven aanvalsmethoden omvatten misbruik van anonieme bestandsuploads en server-side request forgery (SSRF), een techniek waarbij een server wordt misleid om zelf verzoeken naar andere systemen te sturen.
Microsoft meldt ook dat WISP, vshell en AdaptixC2, alle remote-access-trojans (RAT’s), werden ingezet voor blijvende toegang en om zich verder door netwerken te verplaatsen. Aanvallers gebruikten onder meer netcat en curl om deze software te downloaden. Tot de andere technieken die Microsoft noemt behoren webshells, misbruik van inloggegevens en cloudidentiteiten, brute force, password spraying, het verkennen en misbruiken van API’s en het kopiëren van databases.
Welke signalen en verdediging Microsoft noemt
Microsoft wijst op reeksen uiteenlopende verzoeken in korte tijd, herhaalde pogingen met aangepaste technieken en snelle overgangen naar latere stappen in een aanval. ARTEX kan bestaande hulpmiddelen gebruiken, waaronder Nmap, curl, wget, Python-clients voor HTTP-verkeer en headless Chromium via Playwright. Omdat de kenmerken van zulke hulpmiddelen kunnen veranderen, is blokkeren op basis van standaardkenmerken op zichzelf geen afdoende verdediging.
Microsoft zegt dat honeypots, loksystemen, tarpits die aanvallers afremmen en ‘fake wins’ in eigen tests het verkeer naar echte systemen verminderden. Het bedrijf waarschuwt ook dat proxy’s en VPN’s IP-adressen kunnen veranderen, curl legitieme toepassingen heeft en beveiligingsmeldingen los kunnen staan van een aanval.
Een overeenkomst met een indicator is een aanknopingspunt voor onderzoek, geen zelfstandig bewijs van een inbraak.
Twee verschillende IP-adressen in de query en tabel
Microsofts Sentinel-query bevat 178.15.54.129. De IOC-tabel noemt 178.16.54.129 als ARTEX-server en geeft 19 oktober 2026 als eerste waarneming. Dat zijn verschillende IP-adressen; de queryvermelding van 178.15.54.129 is niet hetzelfde als een classificatie ervan als ARTEX-indicator in de tabel. Microsoft markeerde de indicatoren in die tabel als actief op 6 november 2026.
