Kamboçya merkezli Storm-3358, ARTEX ile finans kuruluşlarını hedef alıyor

Microsoft Threat Intelligence, 6 Kasım tarihli blog yazısında, finansal kazanç amacıyla hareket eden ve Storm-3358 adını verdiği saldırgan grubun Ekim 2026’da yapay zekâ destekli saldırı çerçevesi ARTEX’i kullanarak finans sektöründeki kurumları hedef almaya başladığını açıkladı. Microsoft’a göre Storm-3358 Kamboçya merkezli bir saldırı kümesi. Grup ağırlıklı olarak Güneydoğu Asya’daki finans kuruluşlarını, bunlara ek olarak dünya genelinde daha az sayıda büyük finans kuruluşunu hedef alıyor. Microsoft kaç kurumun hedef alındığını ve bu kurumların hangi ülkelerde bulunduğunu açıklamadı.

ARTEX daha önce Çin bağlantılı Vapor Panda grubunun saldırılarında kullanılmış, bir güvenlik araştırmacısının test ortamından kaçan ARTEX ajanı da WorkOS’taki olaya yol açmıştı. Microsoft bu etkinliği, saldırganların ARTEX gibi yapay zekâ destekli sızma testi çerçeveleriyle saldırının bütün aşamalarını hızlandırdığı bir eğilimin parçası olarak görüyor.

Saldırıların işleyişi

Microsoft’a göre Storm-3358, ARTEX’i geleneksel otomatik araçlarla birlikte kullanarak internete açık sistemleri tarıyor, anonim dosya yükleme ve sunucu taraflı istek sahteciliği (SSRF) gibi açıklardan yararlanıyor ve açık kaynak uzaktan erişim truva atları (RAT) kuruyor. Grup kalıcılık sağlamak ve ağ içinde yayılmak için WISP, vshell ve AdaptixC2 adlı araçları kullanıyor. Microsoft, ARTEX ajanlarının bu araçları ele geçirilen sistemlere netcat ve curl gibi programlarla indirdiğini gözlemledi.

Microsoft’a göre son ARTEX bağlantılı saldırılarda saldırganlar ajanları web uygulamalarındaki açıkları taramak ve istismar etmek, ele geçirilen web sunucularında web kabuklarıyla kalıcılık sağlamak, herkese açık kaynaklardan ve ele geçirilen sistemlerden kimlik bilgileri toplamak ve ele geçirilen bulut kimlikleriyle veri sızdırmak için kullandı. Şirkete göre ARTEX ajanları kaba kuvvet parola saldırıları, parola püskürtme (password spraying), API keşfi ve kötüye kullanımı ile veritabanı dökümü de yapabiliyor. Şirket, ARTEX gibi ajan tabanlı araçların ele geçirilen kimlik bilgileri ve sistemlerle makine hızında ağ içinde ilerleyip yetki yükseltebildiğini ve veri sızdırabildiğini belirtiyor.

Önerilen önlemler

Microsoft’a göre yapay zekâ ajanlarıyla yapılan taramalar kısa sürede çok çeşitli istekler gönderiyor, aynı tekniğin farklı biçimlerini art arda deniyor ya da makine hızında bir sonraki aşamaya geçiyor. ARTEX varsayılan olarak Nmap, curl, wget, Python HTTP istemcileri ve Playwright üzerinden çalışan başsız (headless) Chromium gibi araçlar kullanıyor ve bu araçlar varsayılan User-Agent değerleri gibi ayırt edici izler bırakabiliyor. Microsoft’a göre bu izleri taşıyan trafiği engellemek ajanı durdurmuyor, çünkü ajan bu izleri hızla değiştiriyor, ancak izler savunanları saldırıdan haberdar edebiliyor.

Microsoft ayrıca bal küpü (honeypot) ve yem sistemlerin, saldırganı oyalayan tuzakların (tarpit) ve ajana hedefine ulaştığı izlenimini veren sahte başarıların otonom saldırıları gerçek hedeflerden uzaklaştırabileceğini söylüyor. Şirkete göre kendi testlerinde bu önlemler gerçek sistemlere ulaşan saldırı trafiğini azalttı. Microsoft etkinlikle ilişkili ARTEX sunucularının ve komuta kontrol sunucularının IP adreslerini de yayımladı, ancak saldırganların trafiğin kaynak adresini sık sık vekil sunucular ve VPN’lerle değiştirdiğini hatırlatıyor.