ARTEX-Angriffe: Vom GitHub-Scan bis zum Azure-Datenabzug vergehen fünf Minuten
Veröffentlicht am: 07.11.2026 um 10:55 Uhr | Redaktion boerse-global.de
Die Cybersicherheitsabteilung Microsoft Threat Intelligence warnt vor einer neuen Angriffswelle gegen den internationalen Finanzsektor. Laut einem Bericht der Sicherheitsexperten setzt die finanziell motivierte Gruppierung Storm-3358 seit Oktober 2026 das agentische KI-Framework ARTEX ein.
Die in Kambodscha verortete Angreifergruppe nimmt primär Finanzorganisationen in Südostasien ins Visier, attackiert vereinzelt aber auch große weltweite Institute.
Automatisierte Angriffe mit Maschinengeschwindigkeit
Die Gruppe kombiniert das Framework ARTEX mit etablierten Automatisierungswerkzeugen. Nach Angaben von Microsoft Threat Intelligence durchsuchen die Akteure gezielt öffentlich erreichbare Systeme. Dabei nutzen sie Schwachstellen wie serverseitige Anforderungsfälschungen (SSRF) sowie ungesicherte Funktionen für anonyme Datei-Uploads aus.
Zur Sicherung des dauerhaften Zugriffs und für die laterale Bewegung in den Netzwerken installieren die Angreifer quelloffene Fernzugriffstrojaner (RATs) wie WISP, vshell und AdaptixC2.
Wie Microsoft Threat Intelligence weiter darlegt, agieren die ARTEX-Agenten autonom: Sie laden über Dienstprogramme wie curl und netcat Schadsoftware nach, identifizieren und nutzen Schwachstellen in Webanwendungen aus und setzen Webshells ein.
Zudem greifen die Angreifer auf kompromittierte Cloud-Identitäten zurück, um Daten abzuziehen, Brute-Force-Angriffe und Password-Spraying durchzuführen, Programmierschnittstellen (APIs) zu durchleuchten und Datenbanken zu kopieren.
Berichten zufolge automatisiert das Framework das Scannen nach Sicherheitslücken, das Sammeln von Zugangsdaten sowie die laterale Bewegung im Unternehmensnetzwerk im Maschinentempo, unter anderem unter Einsatz von Netzwerkscannern wie Nmap.
Wer die Sicherheit seines Unternehmens angesichts solch hochmoderner Bedrohungen stärken möchte, findet in diesem kostenlosen Report eine Übersicht über aktuelle Cyberrisiken und gesetzliche Anforderungen. Cyber Security: Bedrohungen abwenden und Ihr Unternehmen schützen
Bedrohung durch exponierte Zugangsdaten
Die Ausbreitung des Frameworks beschränkt sich nicht auf Einzelfälle. Nach Erkenntnissen von Microsoft Threat Intelligence durchsuchen ARTEX und vergleichbare agentische Frameworks gezielt öffentliche Quellcode-Repositorien auf GitHub nach offenliegenden Zugangsdaten und Schnittstellenschlüsseln, die unmittelbar für Folgeangriffe verwendet werden.
Ab dem 28. Oktober 2026 nutzte eine einzelne IP-Adresse noch gültige Applikations-Anmeldedaten für unbefugte Anmeldungen in nachgelagerten Mandanten. In einem dokumentierten Fall stahlen die Angreifer Zugangsdaten, exfiltrierten Inhalte aus Azure Key Vaults sowie Speicherkonten und missbrauchten Azure AI Services. Vom ersten Scan auf GitHub bis zum Datenabzug aus einem Azure Key Vault vergingen laut Sicherheitsberichten lediglich fünf Minuten.
Untersuchungen des Sicherheitsunternehmens Censys verdeutlichen das globale Ausmaß der Technologie: Weltweit wurden 1465 Server mit einer öffentlich erreichbaren Bedienkonsole von ARTEX identifiziert, davon rund 650 in identisch konfigurierten Infrastrukturblöcken.
Auf über zehn Prozent dieser Systeme fanden die Analysten weitere Bedrohungsartefakte, darunter Schadwerkzeuge wie Cobalt Strike oder alternative C2-Frameworks. Auch Behörden schlagen Alarm: Die indische Computersicherheitsbehörde CERT-In meldete jüngst Angriffe auf Nicht-Banken-Finanzdienstleister, Fintechs und Krypto-Börsen, bei denen ARTEX neben weiteren Tools eingesetzt wurde.
Angesichts der Geschwindigkeit, mit der KI-gesteuerte Angriffe sensible Zugangsdaten ausnutzen, wird eine umfassende Compliance immer wichtiger. Dieser kostenlose Leitfaden zum EU AI Act hilft Unternehmen dabei, neue regulatorische Pflichten und Risikoklassen besser zu verstehen. Kostenlosen Umsetzungsleitfaden zur KI-Verordnung herunterladen
Microsoft empfiehlt Täuschungssysteme zur Abwehr
Zur Eindämmung der Bedrohung hat Microsoft Indikatoren für eine Kompromittierung (IOCs) bereitgestellt und technische Gegenmaßnahmen skizziert. Sicherheitsteams sollten ihre eigene Netzwerkinfrastruktur vorrangig auf offene Datei-Uploads und SSRF-Schwachstellen überprüfen sowie den Datenverkehr auf auffällige automatisierte curl- und wget-Aktivitäten mit hoher Ausführungsgeschwindigkeit überwachen.
Darüber hinaus empfiehlt Microsoft den Einsatz von Täuschungsmethoden wie Honeypots, Decoys und Tarpits. Diese künstlichen Angriffsflächen sollen KI-gesteuerten Angriffsverkehr frühzeitig sichtbar machen, täuschende Teilerfolge simulieren und die autonomen Agenten gezielt verlangsamen.
Zur weiteren Risikominimierung verweist das Unternehmen auf Verhaltenssignale zur Erkennung agentischer Muster sowie auf das Security Dashboard for AI. Exponierte Zugangsdaten und Secrets sollten grundsätzlich sofort als kompromittiert eingestuft und ausgetauscht werden.
