Storm-3358 借助 ARTEX 攻破系统，主要瞄准东南亚金融机构
微软观察到 Storm-3358 利用匿名文件上传和服务端请求伪造等缺陷，并部署远控木马。活动主要瞄准东南亚金融机构。微软未公布确认受害者数量或损失。
- 披露时间
- 2026年11月7日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 主要波及东南亚金融机构中存在可利用缺陷的公网服务。
- ARTEX · 金融行业 · Web 漏洞利用
- 在野利用
- 已发现
- 微软观察到实际漏洞利用及在失陷系统上部署远控木马。
发生了什么
微软将 Storm-3358 追踪为位于柬埔寨、以获利为目的的入侵团伙。该团伙于 2026 年 10 月开始瞄准金融机构，主要在东南亚，也涉及其他地区少数大型金融机构。微软观察到攻击者将 ARTEX 与常规工具结合使用，扫描公网系统，利用匿名文件上传和服务端请求伪造（SSRF）等缺陷，并部署 WISP、vshell 和 AdaptixC2 建立持久化和横向移动。这些入口需要存在可被利用的 Web 功能，实际影响取决于服务能执行哪些操作、能访问哪些资源。
微软还在更广泛的近期 ARTEX 攻击中观察到 Webshell、失陷云身份滥用和数据外传。微软未确认 Storm-3358 是否在本次活动中外传了数据。微软未披露受害机构名称、确认受害者数量、损失总额、受影响产品版本或 CVE。评级依据是已观察到的漏洞利用和远控工具部署。共同使用 ARTEX 无法确立本次活动与 ConnectWise 云备份事件或 iOS 签名攻击活动之间存在关联。
案发时间线
2026年10月19日
公布的最早基础设施观测
微软于当天首次观测到所列的一台 ARTEX 服务器。金融行业何时开始被瞄准仅明确到 10 月。
2026年10月28日
微软首次观测到所列的第二台 ARTEX 服务器
2026年11月2日
微软首次观测到三个 WISP 命令与控制节点
2026年11月4日
微软首次观测到另外两台 ARTEX 服务器和一台命令与控制服务器
11月7日 02:44 UTC
微软公开调查结果
微软披露 Storm-3358 的漏洞利用情况，并点名三种远控工具。报告页面显示 11 月 6 日，发布元数据对应 UTC 11 月 7 日。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- 微软威胁情报一手来源披露 Storm-3358 的漏洞利用、目标范围和远控木马部署，提供八个基础设施样例地址及排查指引。