The Pulse

Secondo Microsoft, Storm-3358 ha iniziato a prendere di mira organizzazioni del settore finanziario con ARTEX nell’ottobre 2026

Secondo Microsoft, Storm-3358 ha iniziato a prendere di mira organizzazioni del settore finanziario nell’ottobre 2026, utilizzando ARTEX, un framework offensivo di IA agentica. Microsoft ha osservato Storm-3358 usare ARTEX per scansionare s

AI.info Team · Scritto con l’IA · verificato · 2026-11-07

Storm-3358 ha iniziato a prendere di mira organizzazioni del settore finanziario con ARTEX nell’ottobre 2026, ha riferito Microsoft

Storm-3358 ha iniziato a prendere di mira organizzazioni del settore finanziario nell’ottobre 2026, utilizzando ARTEX, un framework offensivo di IA agentica, secondo Microsoft Threat Intelligence. Microsoft Threat Intelligence monitora Storm-3358 come un gruppo di intrusioni con base in Cambogia che prende di mira principalmente organizzazioni finanziarie nel Sud-est asiatico, oltre a un numero più ristretto di grandi organizzazioni finanziarie a livello globale. Microsoft ha osservato Storm-3358 usare ARTEX insieme a strumenti automatizzati convenzionali per scansionare sistemi connessi alla rete internet pubblica e sfruttare falle di sicurezza. Tra queste figuravano il caricamento anonimo di file e la falsificazione di richieste lato server, o SSRF.

I recenti attacchi legati ad ARTEX coinvolgono applicazioni web, credenziali e identità cloud

Nei recenti attacchi legati ad ARTEX, gli attori delle minacce hanno usato gli agenti ARTEX per individuare e sfruttare vulnerabilità nelle applicazioni web e hanno utilizzato web shell per mantenere la persistenza sui server web compromessi. Gli agenti hanno inoltre compromesso credenziali provenienti da fonti pubbliche e da sistemi compromessi e hanno usato identità cloud compromesse per mantenere la persistenza ed esfiltrare dati. Secondo Microsoft, gli agenti ARTEX possono eseguire attacchi alle password a forza bruta e password spraying, enumerare e sfruttare API ed estrarre database. Strumenti agentici come ARTEX possono sfruttare credenziali e sistemi compromessi per muoversi lateralmente, elevare i privilegi ed esfiltrare dati alla velocità delle macchine, afferma l’azienda.

ARTEX usa strumenti per i test di penetrazione per impostazione predefinita

Secondo Microsoft, Storm-3358 ha usato i trojan di accesso remoto WISP, vshell e AdaptixC2 per mantenere la persistenza e muoversi lateralmente. Microsoft ha osservato agenti ARTEX usare netcat e curl per scaricare questi trojan di accesso remoto sui sistemi compromessi. Per impostazione predefinita, ARTEX usa, tra gli altri, Nmap, curl, wget, client HTTP Python, Norma SDK WebFetch e Chromium headless tramite Playwright, secondo Microsoft. Secondo l’azienda, una grande varietà di richieste in un breve lasso di tempo, tentativi ripetuti con variazioni della stessa tecnica o il passaggio alle azioni della fase successiva alla velocità delle macchine possono aiutare le organizzazioni a capire se sono prese di mira da framework di IA agentica.

Microsoft indica ai difensori esche e segnali di rilevamento

Gli strumenti usati da ARTEX possono generare traffico di rete con caratteristiche distintive, tra cui stringhe user agent predefinite, secondo Microsoft. Bloccare il traffico con queste caratteristiche non fermerà un attacco condotto da un agente IA, afferma l’azienda, perché l’agente le cambierà rapidamente; identificare i segnali può comunque mettere in allerta i difensori. Honeypot difensivi, esche, tarpit e falsi successi possono allontanare gli attacchi autonomi dell’IA dagli obiettivi legittimi, secondo Microsoft. Gli honeypot e le superfici esca offrono obiettivi allettanti ma privi di valore, mentre i tarpit consumano il tempo e il budget di un agente.

I falsi successi possono presentare a un agente prove convincenti che il suo obiettivo sia stato raggiunto, inducendolo potenzialmente a fermarsi sulla base di un successo fittizio. Nei test di Microsoft, i controlli hanno contribuito a ridurre il traffico di attacco che raggiungeva le risorse reali e hanno prodotto segnali ad alta affidabilità, di qualità utile all’attribuzione. La ricerca di Microsoft sulle minacce che coinvolgono framework agentici contribuisce al rilevamento delle minacce e al contesto investigativo nei suoi prodotti; alcuni avvisi di Microsoft Defender possono attivarsi per attività non correlate e dovrebbero essere esaminati per determinare se siano legati all’attività descritta nel blog.