Framework agêntico de ataque ARTEX se expande contra o setor financeiro, alerta Microsoft
A Microsoft documentou a expansão do ARTEX, um framework ofensivo que usa um agente de IA para orquestrar ferramentas como Nmap, curl, wget e automação de navegador via Playwright, em ataques do grupo financeiramente motivado Storm-3358 contra instituições financeiras no Sudeste Asiático e, em menor escala, globalmente. O agente executa varredura, exploração, instalação de RATs, força bruta e exfiltração de forma automatizada e em alta velocidade, e a Microsoft recomenda defesas específicas para esse tipo de ameaça, como honeypots e detecção comportamental.
O ARTEX não é uma vulnerabilidade isolada, mas um framework ofensivo completo que usa um agente de IA como camada de orquestração sobre ferramentas de pentest e exploração já conhecidas — Nmap para varredura de rede, curl e wget para requisições HTTP, clientes Python para automação de API e Playwright controlando um Chromium headless para interagir com aplicações web como um usuário real. Em vez de um operador humano decidir manualmente qual ferramenta usar em cada etapa, o agente toma essas decisões de forma autônoma, encadeando reconhecimento, exploração e pós-exploração com intervenção humana mínima.
Storm-3358, o grupo identificado pela Microsoft como operador do ARTEX nesta campanha, é descrito como um ator de intrusão baseado no Camboja historicamente focado em organizações financeiras do Sudeste Asiático, que em outubro de 2026 expandiu o alvo para incluir grandes instituições financeiras globais. A cadeia de ataque observada combina o ARTEX com ferramentas convencionais: comprometimento de credenciais obtidas de fontes públicas, exploração de falhas como SSRF e upload arbitrário de arquivos, implantação de RATs (incluindo famílias como WISP, vshell e AdaptixC2), web shells para persistência e abuso de identidades em nuvem comprometidas para movimentação lateral e exfiltração.
O que torna esse framework relevante como tendência, e não apenas como incidente pontual, é a velocidade de máquina: o agente testa uma ampla variedade de técnicas e variações de exploração em um intervalo de tempo muito menor do que um operador humano levaria, comprimindo o tempo entre o primeiro contato com um alvo e o comprometimento efetivo. Isso reduz a janela de detecção e resposta disponível para equipes defensivas, e diminui a barreira de habilidade técnica necessária para conduzir campanhas que antes exigiriam uma equipe de operadores experientes.
As recomendações de defesa da Microsoft refletem essa mudança de paradigma: em vez de focar apenas em assinaturas de malware específicas, a orientação inclui honeypots e tarpits para desviar e desacelerar agentes autônomos, monitoramento de padrões de user-agent não convencionais que indicam automação, análise comportamental de identidade via Entra ID Protection, políticas de acesso condicional baseadas em risco e caça a ameaças com Microsoft Sentinel. Essa combinação sinaliza que defender-se de frameworks agênticos como o ARTEX provavelmente exigirá cada vez mais detecção comportamental e de velocidade de operação, em vez de apenas indicadores estáticos.