Storm-3358 gebruikt ARTEX bij aanvallen op financiële organisaties

Storm-3358 richt sinds oktober met ARTEX aanvallen op financiële organisaties, meldt Microsoft Threat Intelligence; het bedrijf publiceert acht IP-indicatoren voor verdedigers.

De eerste controle verschuift naar de internetkant: welke webapps van banken, fintechbedrijven en IT-leveranciers accepteren anonieme uploads, kunnen serververzoeken doorsturen of laten applicatie-identiteiten te veel toe? De nieuwe adressen geven Nederlandse securityteams concrete zoektermen, maar een IP-blokkade mist verkeer via wisselende proxies.

Publieke webapps vormen de eerste ingang

Microsoft beschrijft Storm-3358 als een financieel gemotiveerde aanvalsgroep die vanuit Cambodja opereert. ARTEX is het agentische AI-raamwerk voor penetratietests dat de groep inzet. De groep richt zich volgens Microsoft vooral op financiële organisaties in Zuidoost-Azië en op een kleiner aantal grote financiële instellingen wereldwijd. Het rapport noemt geen getroffen Nederlandse organisatie. De beschreven aanvalsketen maakt de inrichting van publiek bereikbare webapps, uploadfuncties en applicatie-identiteiten wel relevant voor Nederlandse banken, fintechbedrijven en hun leveranciers.

De aanval begint met systemen die via internet bereikbaar zijn. Storm-3358 combineert ARTEX met gewone geautomatiseerde hulpmiddelen om die systemen te scannen. Microsoft zegt dat de actor daarna kwetsbaarheden misbruikt, waaronder anonieme bestandsuploads en server-side request forgery (SSRF). Bij SSRF laat een webapp een aanvaller serververzoeken versturen, mogelijk naar systemen die niet rechtstreeks vanaf internet bereikbaar zijn. In de beschreven keten volgt installatie van WISP, vshell en AdaptixC2, drie remote-access-trojans (RAT’s) voor blijvende toegang en verdere verplaatsing binnen een netwerk. Microsoft zag ARTEX-agenten netcat en curl gebruiken om die software binnen te halen.

De controlepunten lopen daardoor van webservers tot laptops en gebruikersaccounts. Let op uploads zonder authenticatie, onverwachte serververzoeken en netcat- of curl-processen die remote-accesssoftware downloaden. Microsoft beschrijft ARTEX met standaardhulpmiddelen als Nmap, curl, wget, Python HTTP-clients en Playwright. Een reeks verschillende verzoeken in korte tijd, met snelle herhalingen van dezelfde techniek, kan op geautomatiseerde verkenning wijzen. Een standaard user-agent blokkeren kan een signaal opleveren, maar de actor kan die waarde veranderen.

Acht adressen geven een eerste zoeklijst

Microsoft publiceert acht voorbeeldindicatoren. De tabel markeert alle adressen als actief op 6 november en noemt waarnemingen vanaf 19 oktober. Drie adressen zijn gekoppeld aan WISP-command-and-control (C2), vier aan ARTEX-servers en één aan een command-and-control-server.

De lijst is een beginpunt, geen volledige afbakening. Microsoft waarschuwt dat aanvallers proxies en VPN's gebruiken om hun bron-IP te veranderen. Er staat bovendien een verschil in dezelfde publicatie: de indicatorentabel noemt 178.16.54[.]129, terwijl de meegeleverde Sentinel-query 178.15.54.129 bevat. Dat zijn twee verschillende adressen. Controleer de indicator tegen de tabel en je eigen loggegevens voordat je de query overneemt.

ARTEX duikt op in losse campagnes

ARTEX is een aanvalshulpmiddel, geen naam voor één aanvaller. CrowdStrike beschrijft ARTEX-gebruik in een Zuid-Koreaanse financiële campagne zonder bekende dader, naast eerdere ARTEX-sporen bij aanvallen op Zuid-Koreaanse financiële instellingen. De geraadpleegde bronnen leggen geen verband met Storm-3358.

Een ander gerapporteerd geval is VAPOR PANDA. CrowdStrike beschrijft het gebruik van ARTEX tegen ruim 200 organisaties in minstens veertien landen, met vervolgactiviteit bij negen organisaties. Die campagne liep elf dagen vanaf 17 oktober en betrof een andere actor. Ook wachtwoordaanvallen bij minstens twaalf andere doelorganisaties werden aan die campagne gekoppeld. Het aantal doelwitten is dus geen telling van evenveel bevestigde inbraken.

Ook de verspreiding van de software is relevant voor controles op eigen omgevingen. Censys telde op 4 november 1.465 hosts met een open ARTEX-console en schatte na correctie voor gedeelde hosting ongeveer 815 afzonderlijk lijkende installaties. Publieke bereikbaarheid bewijst niet dat een installatie is misbruikt, maar wel dat consoles soms vanaf internet te benaderen zijn. Censys trof ook 32 open mappen met onder meer exploitbestanden, stagers en implants op andere ARTEX-hosts. Geen van deze afzonderlijke gevallen toont aan dat dezelfde operator achter de campagnes zit.

Microsoft laat de omvang open

Microsoft noemt geen financiële instellingen bij naam, publiceert geen aantal geraakte organisaties of schadebedrag en specificeert niet hoeveel van de financiële doelwitten daadwerkelijk zijn binnengedrongen. Het bedrijf rapporteert dat Storm-3358 kwetsbare systemen misbruikte en RAT's installeerde, maar koppelt de bredere gevolgen niet per slachtoffer aan deze campagne.

Dat onderscheid is nodig omdat de publicatie vervolgens ook spreekt over andere recente ARTEX-aanvallen, waarin aanvallers openbare inloggegevens, gecompromitteerde cloudidentiteiten en gegevensdiefstal inzetten. Die passage gaat over ARTEX-gerelateerde activiteit in bredere zin. Ze bewijst niet dat Storm-3358 elk van die vervolgstappen in de beschreven financiële campagne uitvoerde. De precieze toeschrijving komt van Microsofts eigen telemetrie; de aparte rapporten van Censys en CrowdStrike geven context over het gebruik van dezelfde tool, maar bevestigen deze Storm-3358-campagne niet onafhankelijk.

De verandering zit in de uitvoeringssnelheid: ARTEX brengt verkenning, exploitpogingen en downloads van RAT's in één workflow. Acht adressen geven een beginpunt voor een gerichte logzoektocht, geen volledigheidsgarantie, zeker omdat Microsoft zelf een verschil in zijn query heeft staan en IP-adressen kunnen wisselen. Voor Nederlandse banken en hun leveranciers komt de controle daardoor uit bij drie lagen tegelijk: publieke webapps, servergedrag en de toegangsrechten van applicatie-identiteiten.