Storm-3358 dùng ARTEX nhắm vào tổ chức tài chính Đông Nam Á

Từ tháng 10/2026, Microsoft Threat Intelligence ghi nhận Storm-3358, cụm xâm nhập vì lợi ích tài chính đặt tại Campuchia theo đánh giá của hãng, dùng ARTEX cùng công cụ tự động hóa thông thường để nhắm vào các tổ chức tài chính, chủ yếu ở Đông Nam Á. Hãng ghi nhận khai thác ứng dụng hướng Internet và cài công cụ điều khiển từ xa trên hệ thống bị xâm nhập. Báo cáo không nêu tên ngân hàng, số nạn nhân hay trường hợp mã hóa dữ liệu tại Việt Nam. [1]

Bài của Thời Báo Ngân Hàng ngày 09/11 đặt vấn đề về chi phí và tốc độ của công cụ AI. Với đội an ninh ngân hàng, câu hỏi có thể kiểm tra ngay là ứng dụng công khai nào cho phép ghi tệp hoặc gửi yêu cầu từ máy chủ, và đội trực có nối được dấu vết từ yêu cầu đầu tiên đến thực thi, kết nối ra ngoài hoặc thay đổi quyền hay không. [6]

Phân biệt các chiến dịch sử dụng ARTEX

Trong hồ sơ Storm-0940, Microsoft ghi nhận hơn 2.250 tenant nằm trong phạm vi thử đăng nhập sau sự cố Cloud Backup. Riêng đợt password spraying từ 10 đến 14/10 nhắm 327 tài khoản ở tám tổ chức, với hơn 151.000 lượt thất bại, đỉnh 2.900 lượt/phút. Microsoft chưa quan sát xác thực thành công trong đợt thử mật khẩu đó. Ở các hoạt động khác của Storm-0940, Microsoft quan sát nhiều lần lấy được đặc quyền cloud trong chưa đầy ba giờ. Khi lập timeline, SOC cần giữ riêng mẫu số theo tenant, tài khoản và sự kiện đăng nhập. [3] [10]

Đầu tháng 11, Censys thấy 1.465 host lộ giao diện ARTEX. Sau khi bỏ khoảng 650 host thuộc hai cụm có cấu hình lặp, còn khoảng 815 triển khai có vẻ phân biệt được. Phép đo dựa trên dấu hiệu giao diện công khai nên bỏ sót triển khai kín và có thể bao gồm pentest hợp lệ. Vị trí máy chủ, số host và độ giống cấu hình chỉ hỗ trợ điều tra hạ tầng. Số người vận hành, nạn nhân và tỷ lệ xâm nhập vẫn chưa xác định. [4]

Từ điểm vào web đến quyền vận hành

ARTEX ra mắt tháng 7/2026 như một framework kiểm thử xâm nhập có thể kết nối mô hình ngôn ngữ và điều phối các công cụ quen thuộc. Agent lập kế hoạch, đọc kết quả và chọn bước tiếp theo. CrowdStrike tìm thấy cấu hình ARTEX và lịch sử phiên Claude Code trên hạ tầng do đối tượng vận hành trong ca Hàn Quốc. Kho công khai ban đầu đã bị gỡ, song các bản sao còn lưu hành theo Censys. Giấy phép của bản phát hành ban đầu không cho biết chi phí mô hình, máy chủ và proxy của một chiến dịch. [2] [4]

Trong hồ sơ Storm-3358, Microsoft ghi nhận khai thác tải tệp ẩn danh và SSRF, tức lừa ứng dụng gửi yêu cầu dưới danh nghĩa máy chủ. Hai điểm yếu có điều kiện và hậu quả khác nhau. Tệp được lưu thành công chỉ xác nhận thao tác ghi. Cần kiểm tra khả năng thực thi và quyền của tiến trình phục vụ web. SSRF có thể mở đường tới một dịch vụ vốn chỉ chấp nhận truy cập nội bộ nếu máy chủ được phép kết nối. Các hành vi khai thác ứng dụng hướng Internet có thể đối chiếu với ATT&CK T1190. [1] [9]

Microsoft còn ghi nhận Storm-3358 dùng WISP, vshell và AdaptixC2 để duy trì quyền truy cập và di chuyển ngang. Một dấu vết có giá trị điều tra là tiến trình phục vụ web hoặc tài khoản dịch vụ thực hiện hành vi lệch khỏi chức năng của nó, rồi kết nối ra ngoài hoặc truy cập một hệ thống mới. Cụm chuỗi này có ích khi công cụ đổi địa chỉ nguồn hoặc dùng chung với hoạt động kiểm thử được phép. [1]

Hồ sơ ConnectWise cho thấy một đường vào khác. Khi thông tin xác thực của ứng dụng nhiều tenant bị lấy cắp, đối tượng có thể dùng các quyền đã cấp cho ứng dụng để gọi API mà không cần phiên đăng nhập tương tác của nhân viên. MFA cho người dùng vẫn cần thiết. Với ứng dụng, ngân hàng phải kiểm soát riêng quyền app-only, vòng đời secret và khả năng phát hiện khi danh tính đó bắt đầu truy cập ngoài phạm vi thông thường. [3]

Giả thuyết săn tìm cho SOC ngân hàng

Bắt đầu từ cổng khách hàng, cổng đối tác và các API công khai có chức năng tải tệp hoặc truy xuất URL. Bảng dưới đây là giả thuyết để đội SOC kiểm tra bằng dữ liệu nội bộ. Thứ tự sự kiện, chủ tài sản và nhật ký thay đổi giúp tách hoạt động hợp lệ khỏi sự cố. [1] [3] [5]

Khi ghép chuỗi, chuẩn hóa thời gian về UTC và giữ mốc giờ gốc. Nếu hệ thống sau proxy, chỉ dùng trường IP chuyển tiếp từ proxy được tin cậy. Một cảnh báo WAF, user-agent hoặc IP trùng IOC đủ để mở truy vấn, còn kết luận xâm nhập cần dấu vết trên máy chủ hoặc danh tính. Ghi rõ nguồn log thiếu và thời hạn lưu. Một cửa sổ không có log để đối chiếu vẫn là khoảng trống điều tra. [1] [3]

Ưu tiên ứng phó trong 24 đến 72 giờ

• Trong 24 giờ đầu. SOC và chủ ứng dụng lập danh mục điểm vào công khai và quyền của dịch vụ phía sau. Ưu tiên cổng ghi tệp, xử lý URL và tích hợp có quyền rộng. Lưu log dễ hết hạn. Khi xác nhận thực thi trái phép hoặc quyền ứng dụng bị lạm dụng, điều phối cô lập máy chủ hay vô hiệu hóa đường truy cập bị ảnh hưởng theo quy trình IR, đồng thời giữ bằng chứng phục vụ điều tra. [1] [3]
• Trong 24 đến 72 giờ. Chủ ứng dụng siết phân quyền tải tệp, lưu tệp ngoài webroot ở nơi không thực thi và giới hạn đích ra ngoài theo chức năng. Với danh tính ứng dụng bị lộ, thu hồi hoặc xoay vòng thông tin xác thực bị ảnh hưởng, rà quyền và truy tìm credential, consent hoặc vai trò được thêm ngoài thay đổi đã duyệt. Rà nhật ký truy cập dữ liệu trước khi xác định phạm vi thông báo. [3] [5] [7] [8]
• Trước khi khôi phục đầy đủ. Kiểm tra tài khoản có quyền xóa hoặc đổi chính sách lưu giữ bản sao. Đội phục hồi xác nhận còn bản sao cô lập hoặc bất biến và thử khôi phục một dịch vụ đại diện trong môi trường tách biệt. Ghi thời gian phục hồi, dữ liệu kiểm tra và người phê duyệt mở lại luồng.

Quyền trên máy chủ, danh tính đám mây và quyền quản trị sao lưu có thể quyết định phạm vi gián đoạn nếu một cuộc xâm nhập leo thang. Đối với Storm-3358, nguồn công khai được rà soát đến 10/11/2026 xác nhận hoạt động nhắm vào khu vực và một số kỹ thuật xâm nhập. Phạm vi nạn nhân tại Việt Nam và tác động mã hóa vẫn chưa được xác nhận. [1]