ARTEX: Κυβερνοεγκληματίες από την Καμπότζη στρέφουν το εργαλείο επιθέσεων με τεχνητή νοημοσύνη κατά του χρηματοπιστωτικού τομέα

Η ομάδα Microsoft Threat Intelligence προειδοποιεί ότι το ARTEX, ένα εργαλείο επιθέσεων που λειτουργεί με τεχνητή νοημοσύνη, χρησιμοποιείται πλέον και από κυβερνοεγκληματίες που στοχεύουν τον χρηματοπιστωτικό τομέα. Σε νέα ανάλυσή της, που δημοσίευσε την Παρασκευή 6 Νοεμβρίου 2026, η Microsoft αναφέρει ότι από τον Οκτώβριο η ομάδα εισβολέων Storm-3358 χρησιμοποιεί το πλαίσιο ARTEX εναντίον χρηματοπιστωτικών οργανισμών.

Το Storm-3358 είναι μια ομάδα εισβολέων με βάση την Καμπότζη και οικονομικά κίνητρα. Στοχεύει κυρίως χρηματοπιστωτικούς οργανισμούς της Νοτιοανατολικής Ασίας, ενώ επιτίθεται και σε μικρότερο αριθμό μεγάλων χρηματοπιστωτικών οργανισμών σε άλλα μέρη του κόσμου.

Για όσους δεν γνωρίζουν το εργαλείο: το ARTEX είναι ανοιχτού κώδικα πλαίσιο δοκιμών διείσδυσης, δηλαδή προσομοίωσης επιθέσεων για τον έλεγχο της ασφάλειας ενός συστήματος. Αποτελείται από πολλούς πράκτορες τεχνητής νοημοσύνης, γραμμένους στη γλώσσα Go, που μπορούν να εκτελέσουν μια πλήρη επίθεση, από την αναγνώριση του στόχου ως την αποστολή δεδομένων προς τα έξω, σχεδόν χωρίς ανθρώπινη παρέμβαση. Η Microsoft το είχε συνδέσει στις 21 Οκτωβρίου με το Storm-0940, ομάδα που θεωρεί ευθυγραμμισμένη με το κινεζικό κράτος και η οποία το χρησιμοποίησε κατά εκατοντάδων οργανισμών, μεταξύ άλλων στην επίθεση στην αλυσίδα εφοδιασμού της ConnectWise. Σε αρκετές περιπτώσεις, ο χρόνος από την επιλογή του στόχου ως την απόκτηση προνομιακής πρόσβασης στην υποδομή νέφους ήταν μικρότερος από τρεις ώρες.

Στις επιθέσεις του Storm-3358, η Microsoft παρατήρησε το ARTEX να συνδυάζεται με συμβατικά αυτοματοποιημένα εργαλεία. Οι εισβολείς σαρώνουν συστήματα συνδεδεμένα στο διαδίκτυο και εκμεταλλεύονται κενά ασφαλείας, όπως τη δυνατότητα ανώνυμης μεταφόρτωσης αρχείων και την πλαστογράφηση αιτημάτων από την πλευρά του διακομιστή (SSRF). Στη συνέχεια εγκαθιστούν δούρειους ίππους απομακρυσμένης πρόσβασης (RAT) ανοιχτού κώδικα, κακόβουλα προγράμματα που δίνουν στον εισβολέα τον έλεγχο του μηχανήματος. Η ομάδα έχει χρησιμοποιήσει τους WISP, vshell και AdaptixC2 για να διατηρεί την πρόσβαση και να κινείται πλευρικά μέσα στο δίκτυο, ενώ οι πράκτορες του ARTEX τους κατέβασαν στα παραβιασμένα συστήματα με τα εργαλεία netcat και curl.

Σε πρόσφατες επιθέσεις με το ARTEX, οι δράστες εκμεταλλεύτηκαν ευπάθειες σε διαδικτυακές εφαρμογές, χρησιμοποίησαν web shells (κακόβουλα σενάρια για μόνιμη πρόσβαση σε διακομιστές), απέσπασαν διαπιστευτήρια από δημόσιες πηγές και από παραβιασμένα συστήματα και αξιοποίησαν παραβιασμένες ταυτότητες στο νέφος για να διατηρούν την πρόσβαση και να υποκλέπτουν δεδομένα. Οι πράκτορες μπορούν επίσης να δοκιμάζουν κωδικούς με επιθέσεις ωμής βίας ή με συνηθισμένους κωδικούς σε πολλούς λογαριασμούς (password spraying), να εντοπίζουν και να καταχρώνται διεπαφές προγραμματισμού (API) και να αντιγράφουν ολόκληρες βάσεις δεδομένων. Για την ευρύτερη εικόνα, η Microsoft παραπέμπει και στην ανάλυσή της για τα εκτεθειμένα μυστικά, που καλύψαμε στο ρεπορτάζ για τους πράκτορες τεχνητής νοημοσύνης που σαρώνουν το GitHub.

Πώς αναγνωρίζεται μια τέτοια επίθεση; Η Microsoft εξηγεί ότι οι πράκτορες στέλνουν μέσα σε λίγο χρόνο πολλά διαφορετικά αιτήματα και δοκιμάζουν παραλλαγές της ίδιας τεχνικής ή περνούν στο επόμενο στάδιο με ταχύτητα μηχανής. Το ARTEX χρησιμοποιεί από προεπιλογή εργαλεία όπως Nmap, curl, wget, πελάτες HTTP της Python, το WebFetch του Norma SDK και headless Chromium μέσω Playwright, των οποίων η κίνηση έχει χαρακτηριστικά γνωρίσματα, όπως τις προεπιλεγμένες συμβολοσειρές user agent. Ο αποκλεισμός αυτής της κίνησης δεν σταματά μια επίθεση, αφού ο πράκτορας αλλάζει γρήγορα τα χαρακτηριστικά της, ο εντοπισμός της όμως μπορεί να ειδοποιήσει τους αμυνόμενους.

Η εταιρεία προτείνει επίσης παγίδες άμυνας: honeypots, δηλαδή δελεαστικούς αλλά άχρηστους στόχους, tarpits που καταναλώνουν τον χρόνο και τον προϋπολογισμό του πράκτορα, και «ψεύτικες επιτυχίες» που τον πείθουν ότι πέτυχε τον στόχο του, ώστε να σταματήσει. Στις δοκιμές της Microsoft, οι μηχανισμοί αυτοί περιόρισαν την επιθετική κίνηση που έφτανε σε πραγματικά συστήματα. Η ανάλυση δίνει και οκτώ ενδεικτικές διευθύνσεις IP, μεταξύ των οποίων τρεις κόμβους διοίκησης και ελέγχου (C2) του WISP, όλες ενεργές στις 6 Νοεμβρίου.

Το συμπέρασμα της Microsoft είναι ότι οι επιτιθέμενοι επιταχύνουν κάθε στάδιο της επίθεσης με πλαίσια διείσδυσης που βασίζονται σε τεχνητή νοημοσύνη, και ότι οι αμυνόμενοι πρέπει να χρησιμοποιούν αντίστοιχα εργαλεία για να ερευνούν και να αντιδρούν σε μεγάλα περιβάλλοντα. Για το ευρύτερο τοπίο απειλών, δείτε και την έκθεση της Microsoft για το phishing στο γ΄ τρίμηνο.