캄보디아 기반 Storm-3358 그룹이 금융 부문 목표물에 에이전트형 AI 공격 프레임워크 ARTEX를 전개하며, 기계 속도 익스플로잇을

캄보디아 기반의 Storm-3358은 에이전트형 AI 공격 프레임워크(agentic AI offensive framework)인 ARTEX를 금융 부문 목표물에 전개하고 있으며, 기계 속도 익스플로잇과 오픈 소스 RATs를 결합하여 공격 체인의 모든 단계를 가속화하고 있습니다.

주요 발견 사항:

• Storm-3358은 주로 동남아시아의 금융 기관을 목표로 하는 금전적 동기(financially motivated) 침입 클러스터이며, 소수의 대형 글로벌 금융 기관도 범위에 포함됩니다. 2026년 10월부터 활동해 온 이 그룹은 ARTEX 에이전트를 기존 도구와 함께 사용하여 인터넷에 노출된 시스템을 스캔하고, 웹 애플리케이션의 익명 파일 업로드 및 SSRF 취약점을 악용하며, 지속성을 위해 웹 셸(web shells)을 배포하고, 공개 출처 및 감염된 호스트에서 자격 증명을 수집하며, 지속성 유지와 데이터 유출(data exfiltration)을 위해 손상된 클라우드 ID를 오용합니다. ARTEX는 또한 기계 속도로 무차별 대입(brute-force), 비밀번호 스프레이잉(password spraying), API 열거(API enumeration), 및 데이터베이스 덤핑(database dumping)을 가능하게 합니다.

• 침투 후 지속성 및 측면 이동(lateral movement)을 위해 Storm-3358은 세 가지 오픈 소스 RATs인 WISP, vshell, AdaptixC2를 배포합니다. ARTEX 에이전트는 netcat과 curl을 사용하여 이를 전달하며, 페이로드를 감염된 시스템에 직접 다운로드합니다. 11월 6일 기준으로 세 개의 WISP C2 노드가 활성화되어 있습니다: 199.19.95[.]66, 199.19.95[.]67, 및 199.19.95[.]68 (최초 발견일 2026-11-02). 네 개의 ARTEX 서버가 활성화된 것으로 확인되었습니다: 91.92.240[.]238, 85.11.168[.]45, 178.16.54[.]129, 및 31.77.229[.]35이며, 추가 C2 서버가 85.11.167[.]52에 있습니다.

• 에이전트형 프레임워크를 이용한 DFIR(디지털 포렌식 및 사고 대응) 탐지 난제는 속도와 범위에 있습니다. ARTEX 에이전트는 인간의 지연 없이 기술 변형을 재시도하고 다음 단계 행동으로 전환하며, 스캐닝(scanning), 익스플로잇(exploitation), 자격 증명 접근(credential access), 측면 이동(lateral movement) 전반에 걸쳐 압축된 시간 프레임 내에서 급증 패턴을 생성합니다. 기본적으로 ARTEX는 Nmap, curl, wget, Python HTTP 클라이언트, Norma SDK WebFetch, 그리고 Playwright를 통한 헤드리스 Chromium을 사용하며, 이 모든 것은 기본 사용자 에이전트 문자열(default user agent strings)을 포함한 특징적인 네트워크 트래픽을 남기므로, 소스 IP가 VPN을 통해 로테이션하더라도 활동을 노출시킬 수 있습니다.

• Microsoft의 보고서에는 실행(execution), 수집(collection), 자격 증명 접근, 방어 회피(defense evasion), 탐색(discovery), C2(Command and Control), 측면 이동, 지속성 전술에 걸친 Defender for Endpoint 경고 매핑이 포함되어 있습니다. 관련 경고 이름으로는 'Suspicious curl behavior', 'Possible reverse shell', 'Suspicious shell execution from PHP application', 'Possible Web Server compromise activity', 그리고 'Suspicious cron job creation' 등이 있습니다.

• Microsoft Sentinel 방어자는 위에 나열된 8개의 IOC IP에 대해 30일의 조회 기간(lookback) 동안 제공된 ASIM 네트워크 세션 쿼리를 실행할 수 있습니다. Defender XDR 탐지 쿼리는 최근 curl이 시작한 DeviceNetworkEvents 및 EventID 4688 항목을 알려진 curl 목적지의 7일 기준선과 비교하여 curl을 통해 다운로드된 새 파일을 식별합니다.

실무자 참고 사항: 보고서의 KQL 쿼리를 사용하여 curl로 시작된 아웃바운드 연결을 검색하고, 이전 7일을 기준으로 베이스라인을 설정한 후 환경에서 이전에 보이지 않았던 목적지를 플래그 지정하십시오. 발견된 히트(hits)를 제공된 8개의 IOC IP와 교차 참조해야 합니다. 웹 서버에서는 최근에 생성되거나 수정된 웹 셸 파일(web shell files)을 검토하고 초기 노출 기간 이후에 추가된 크론 작업(cron jobs)을 감사하십시오. 애플리케이션 범위 내에서 SSRF (Server-Side Request Forgery) 또는 익명 파일 업로드가 가능하다면, 에이전트형 스캐닝(agentic scanning)의 특징인 높은 요청률 버스트 패턴을 웹 서버 로그에서 확인해야 합니다. IOC, Defender 경고 이름, 그리고 Defender XDR과 Sentinel 검색 쿼리는 Microsoft Security 보고서에 포함되어 있습니다.

#DFIR_Radar