A Microsoft afirma que Storm-3358 começou, em outubro de 2026, a mirar organizações financeiras com ARTEX, uma estrutura de ataque ofensivo baseada em IA agentiva. O foco relatado é o Sudeste Asiático, além de um número menor de grandes organizações financeiras em outras regiões. O relatório da Microsoft descreve as etapas da atividade e sinais que equipes de segurança podem investigar.
O que a Microsoft relata sobre Storm-3358 e ARTEX
A Microsoft caracteriza Storm-3358 como um grupo de intrusão financeiramente motivado e baseado no Camboja. ARTEX é descrita como uma estrutura de testes ofensivos de penetração com IA agentiva, usada junto de ferramentas automatizadas convencionais.
A atividade relatada combina automação para examinar sistemas acessíveis pela internet e tentar explorar falhas. Entre as vulnerabilidades citadas estão o envio anônimo de arquivos e a SSRF, sigla para falsificação de requisição do lado do servidor, que pode levar um servidor a fazer requisições não previstas.
Da exploração à movimentação lateral
Segundo a Microsoft, a sequência inclui a instalação de trojans de acesso remoto (RATs), usados para manter o acesso e avançar para outros sistemas da rede. A empresa cita WISP, vshell e AdaptixC2; ferramentas como netcat e curl foram usadas para baixá-los.
A Microsoft também relaciona a essa atividade web shells, abuso de credenciais e de identidades de nuvem comprometidas, ataques de força bruta e password spraying, enumeração e abuso de APIs e extração de bancos de dados. São técnicas descritas em ataques relacionados a ARTEX, não uma lista de etapas atribuídas a cada organização visada.
Sinais de comportamento e medidas defensivas
A Microsoft recomenda investigar padrões de comportamento, como muitas requisições variadas em pouco tempo, novas tentativas com técnicas modificadas e uma passagem rápida para etapas posteriores do ataque. Características padrão de ferramentas como Nmap, curl, wget, clientes HTTP em Python, Norma SDK WebFetch e Chromium sem interface gráfica via Playwright também podem ajudar a sinalizar atividade. Como essas características podem mudar, bloqueá-las por si só não basta para deter um agente adaptável.
A empresa cita honeypots e outras iscas, tarpits e “falsos êxitos” como medidas para desviar ou atrasar ataques. A Microsoft afirma que essas técnicas reduziram o tráfego que chegava a ativos reais em seus testes.
Um indicador é um ponto de partida para investigar: combine sinais técnicos com o contexto da rede antes de concluir que houve comprometimento.
Um endereço IP pode mudar quando o tráfego passa por proxies ou VPNs. Além disso, curl tem usos legítimos e alertas podem não estar relacionados à atividade investigada. Por isso, a Microsoft trata indicadores e detecções como pistas que precisam ser avaliadas no contexto local.
Por que os endereços 178.15 e 178.16 são diferentes
A consulta do Microsoft Sentinel inclui 178.15.54.129. Já a tabela de indicadores da Microsoft classifica 178.16.54.129 como servidor ARTEX e registra 19 de outubro de 2026 como a data de primeira observação. São endereços distintos: a classificação de servidor ARTEX na tabela se refere ao endereço terminado em .16.
Na análise de alertas, manter cada endereço associado ao lugar em que aparece evita tratar a entrada da consulta como se fosse a classificação da tabela. Os endereços e outros sinais precisam ser avaliados junto do comportamento observado e do contexto da rede.
