Microsoft Threat Intelligence informuje, że Storm-3358 zaczął w październiku 2026 roku kierować działania z użyciem ARTEX przeciw organizacjom finansowym. W raporcie Microsoftu grupa została opisana jako motywowana finansowo i działająca z Kambodży. Jej głównym celem miały być instytucje finansowe w Azji Południowo-Wschodniej, a w mniejszej skali także duże organizacje z tego sektora w innych częściach świata.

Jak Microsoft opisuje działania Storm-3358

Microsoft określa ARTEX jako agentowy framework AI do ofensywnych testów penetracyjnych. W opisywanej aktywności narzędzie miało działać obok konwencjonalnej automatyzacji. Samo ARTEX nie jest w raporcie przedstawiane jako duży model językowy.

Według Microsoftu działania zaczynały się od skanowania systemów dostępnych z publicznego internetu i wykorzystywania podatności, w tym anonimowego przesyłania plików oraz SSRF, czyli fałszowania żądań po stronie serwera. Następnie wykorzystywano m.in. WISP, vshell i AdaptixC2, czyli trojany zdalnego dostępu (RAT), do utrzymywania dostępu i przemieszczania się między systemami. Do pobierania tych narzędzi używano m.in. netcat i curl.

Microsoft wymienia też web shelle, kradzież lub nadużywanie danych logowania, przejęte tożsamości chmurowe, ataki siłowe i password spraying, a także rozpoznawanie i nadużywanie API oraz zrzuty baz danych. To zestaw technik opisywanych w związku z aktywnością ARTEX, nie lista działań przypisanych każdej organizacji z osobna.

Jak rozpoznawać aktywność i oceniać wskaźniki

Microsoft wskazuje na wzorce zachowania, które mogą zwrócić uwagę obrońców: wiele różnych żądań w krótkim czasie, ponawianie prób z użyciem zmienionych metod oraz szybkie przechodzenie do kolejnych etapów działania. Raport wymienia narzędzia takie jak Nmap, curl, wget, klienty HTTP w Pythonie, Norma SDK WebFetch oraz bezgłowy Chromium obsługiwany przez Playwright. Ich domyślne cechy mogą być sygnałem, ale ich blokowanie samo w sobie nie zatrzyma adaptującego się agenta.

Microsoft opisuje też wykorzystanie honeypotów, systemów-przynęt, tarpитów spowalniających ruch i pozornych sukcesów, które mają odciągać lub opóźniać zautomatyzowane działania. Firma podaje, że w jej testach takie rozwiązania ograniczyły ruch docierający do rzeczywistych zasobów.

Pojedynczy alert to początek analizy, nie werdykt. Znaczenie mają zachowanie systemu i kontekst całej organizacji.

Adresy IP również wymagają ostrożnej interpretacji. Zapytanie Microsoft Sentinel zawiera 178.15.54.129, natomiast tabela wskaźników opisuje 178.16.54.129 jako serwer ARTEX i podaje 19 października 2026 roku jako datę jego pierwszego zaobserwowania. To dwa różne adresy; sama obecność pierwszego w zapytaniu nie potwierdza go jako wskaźnika kampanii. Tabela Microsoftu oznaczała wymienione w niej wskaźniki jako aktywne 6 listopada 2026 roku.

Microsoft zaznacza, że adresy źródłowe mogą się zmieniać przez użycie proxy lub VPN, a curl służy również do legalnych zadań. Alerty mogą mieć niezwiązaną przyczynę, dlatego trafienie we wskaźnik jest wskazówką do zbadania w lokalnym kontekście, a nie samodzielnym dowodem włamania.