Microsoft: Группа Storm-3358 использует ИИ ARTEX в атаках на финансовый сектор

Официальники безопасности Microsoft сообщили о наблюдении активности финансово мотивированной угрозы под названием Storm-3358 в октябре 2026 года. Расположенная в Камбодже, эта группа в основном нацелена на финансовые учреждения в Юго-Восточной Азии, а также на крупные банки по всему миру. Аналитики выяснили, что группа использует фреймворк ARTEX.

Согласно данным Microsoft, Storm-3358 использует ARTEX наряду со стандартными автоматизированными инструментами. Группа пытается получить доступ к системам, сканируя подключенные к интернету системы, загружая анонимные файлы и exploiting vulnerabilities such as Server-Side Request Forgery (SSRF). Атакующие устанавливают открытые исходные кодом трояны удаленного доступа, такие как WISP, vshell и AdaptixC2, для установления постоянного присутствия и перемещения внутри систем.

Агенты ARTEX используют инструменты, такие как netcat и curl, для загрузки этих троянов в скомпрометированные системы. В недавних атаках группа применяла методы, включая обнаружение уязвимостей в веб-приложениях, поддержание присутствия через веб-шеллы и использование паролей, полученных из открытых источников. Также наблюдались компрометированные облачные идентификаторы для утечки данных.

Эти инструменты на основе ИИ позволяют угрозам выполнять перемещение, повышение привилегий и утечку данных со скоростью машины в скомпрометированных системах. Это ситуация демонстрирует устойчивую тенденцию, когда угрозы ускоряют все этапы цепочки атак с помощью ИИ. Microsoft подчеркнул, что защитники также должны использовать ИИ для анализа и реагирования в масштабных средах.

Microsoft предоставил ряд рекомендаций по защите. ИИ-фреймворки отправляют различные запросы в короткий промежуток времени и повторяют один и тот же метод. Ханпоты и декоративные инструменты помогают перенаправлять автономные атаки от реальных целей. Microsoft Sentinel Deception предоставляет агентам привлекательные, но бесполезные цели, снижая трафик атак.

Компания предлагает возможности обнаружения для аналогичной активности в своих продуктах, таких как Microsoft Entra ID Protection и Defender for Endpoint. Эти инструменты анализируют личные идентификаторы и активность системы, помогая выявлять рисковый доступ. Microsoft заявила, что продолжит наблюдение за этими угрозами и предоставление клиентам новых возможностей для укрепления безопасности.