Microsoft: Storm-3358 kümesi Artex ile dünya genelinde bankaları hedef alıyor
Microsoft Threat Intelligence, Güneydoğu Asya merkezli ve finansal motivasyonlu Storm-3358 kümesinin ekimden bu yana AI destekli pentest aracı Artex'i klasik araçlarla birleştirerek bankacılık sektörüne saldırdığını bildirdi. Saldırılar SSRF ve kimliksiz dosya yükleme açıklarıyla başlayıp RAT kurulumuyla sürüyor.
Son haftalarda sitede sıkça yer alan AI destekli saldırı aracı Artex, bu kez finansal motivasyonlu bir kümenin elinde bankaları hedef alıyor. Cybersecurity Dive'ın aktardığına göre Microsoft Threat Intelligence, cuma günü yayımladığı raporda Storm-3358 olarak izlediği Güneydoğu Asya merkezli (haberde Kamboçya merkezli olarak da anılan) kümenin, Güneydoğu Asya'daki ve dünya genelindeki bankalarla diğer sektörlerden şirketleri hedef aldığını açıkladı.
Kampanya ekim ayında başladı. Küme, Artex'i (saldırıları insan kapasitesinin çok ötesinde otomatikleştirebilen, AI destekli bir pentest aracı) geleneksel saldırı araçlarıyla birlikte kullanıyor.
Saldırı zinciri nasıl ilerliyor?
Habere göre saldırganlar:
- İnternete açık uygulamalardaki SSRF (sunucu taraflı istek sahteciliği) ve kimlik doğrulamasız dosya yükleme açıklarını istismar ediyor,
- Ele geçirdikleri sistemlere vshell ve AdaptixC2 gibi uzaktan erişim truva atlarını (RAT) kuruyor,
- Bu araçlarla kalıcılık sağlayıp ağ içinde yanal hareket ediyor.
Microsoft'un bulgusu, Artex'in tek bir aktöre ait olmadığını bir kez daha gösteriyor. Sitede daha önce Storm-0940'ın Artex kampanyasını, Censys'in parolasız 800 açık Artex kurulumu tespitini ve Hunt.io'nun Güney Kore bankalarındaki ihlallerle bağlantılı Artex altyapısı analizini yazmıştık. Hindistan'da ise CERT-In, farklı bir aktöre atfedilen Crafty Falcon kampanyasında fintech'lerin hedef alındığını duyurmuştu.
Savunma tarafında ne öneriliyor?
Habere göre araştırmacılar, otonom AI saldırganlarının zaman zaman honeypot ve tuzak (decoy) sistemlerle gerçek hedeflerden uzaklaştırılabildiğini belirtiyor: Bu sistemler ajanı başarılı bir saldırı yaptığına ikna edip zamanını ve kaynaklarını tüketebiliyor.
Ne yapılmalı?
- İnternete açık uygulamalarda SSRF ve kimliksiz dosya yükleme bulgularını envanterleyin; açık uç noktaları WAF kurallarıyla ve uygulama patch'leriyle önceliklendirin.
- Uygulama sunucularından beklenmedik dış bağlantıları ve web dizinlerine yeni yüklenen çalıştırılabilir dosyaları EDR ve proxy loglarında izleyin; curl ve netcat gibi araçların web sunucusu süreçlerinden çağrılması alarm üretmeli.
- vshell ve AdaptixC2 için Microsoft raporundaki IOC'leri SIEM'e ekleyin; IOC'ler yalnızca rapordaki haliyle kullanılmalı.
- Finans kurumları, otomatikleşmiş tarama hızına karşı tuzak sistemleri (honeypot, canary token) değerlendirebilir.
- Değişiklikler kurum içi change management sürecinden geçirilmeli.
