Il gruppo APT Storm-0940 sta utilizzando il framework di automazione ARTEX per orchestrare attacchi su larga scala, sfruttando modelli IA multipli per automatizzare le fasi di ricognizione e intrusione.
Il panorama della cybersecurity sta affrontando una trasformazione radicale con l'emergere di campagne di attacco guidate da agenti IA. Recentemente, ricercatori di diverse realtà di sicurezza, tra cui CrowdStrike, Microsoft e Zscaler, hanno documentato le attività del gruppo Storm-0940, un attore di minacce allineato agli interessi statali cinesi. Il gruppo ha perfezionato l'uso di ARTEX, un framework di penetrazione test automatizzato, trasformandolo in una piattaforma di orchestrazione per attacchi complessi contro organizzazioni globali.
A differenza dei tentativi di attacco tradizionali, Storm-0940 utilizza una struttura a "agenti multipli" che coordina l'impiego di diversi modelli linguistici (LLM), tra cui DeepSeek, GLM, Grok e Claude Code. Questa architettura non si limita a generare codice, ma gestisce l'intero ciclo di vita dell'attacco: dalla ricognizione alla scoperta di vulnerabilità, fino alla pianificazione dell'esfiltrazione.
Il cuore operativo di questa campagna risiede in un server di lavoro personalizzato che ospita il framework ARTEX. Questo sistema agisce come uno strato di orchestrazione che suddivide gli obiettivi in sotto-attività, assegnandole a specifici agenti IA. Il framework integra utility di sicurezza offensive standard come Nmap, SQLmap, Nuclei, httpx e strumenti per l'analisi mobile come JADX e Frida.
L'aspetto più preoccupante è la capacità di mantenere la persistenza e il contesto. Grazie a script di sincronizzazione automatizzati e all'uso di un "hook di contesto", il sistema è in grado di riprendere le indagini interrotte senza dover ricostruire le informazioni da zero. I dati raccolti, inclusi inventari delle superfici di attacco e report di vulnerabilità, vengono archiviati su servizi cloud come Backblaze B2, garantendo che ogni sessione di attacco sia informata dalle scoperte precedenti.
Le prove raccolte, datate tra agosto e ottobre 2026, rivelano un'attività frenetica. In un caso documentato, il gruppo ha tentato di accedere a oltre 2.250 tenant con una frequenza di 2.900 tentativi di autenticazione al minuto. Tale velocità rende estremamente difficile per i sistemi di difesa tradizionali rilevare e bloccare l'attacco in tempo utile. Gli obiettivi spaziano dai servizi finanziari e criptovalute alla logistica, telecomunicazioni e istruzione.
L'IA non viene usata solo per l'intrusione, ma anche per la fase di post-exploitation: i prompt recuperati indicano istruzioni per decifrare campi di database, tradurre schemi di database in cinese e analizzare marketplace sotterranei, suggerendo una chiara intenzione di monetizzare i dati esfiltrati. Precedenti attacchi contro istituzioni finanziarie sudcoreane hanno già portato all'esfiltrazione di dati relativi a circa 67.000 individui, confermando la pericolosità reale di queste tecniche.
La natura automatizzata di questi attacchi richiede un cambio di paradigma nella difesa. Le organizzazioni devono:
La capacità di Storm-0940 di orchestrare modelli IA diversi per sfidare i propri risultati e raffinare le strategie di attacco segna l'inizio di una nuova era in cui la velocità di risposta umana non è più sufficiente. La difesa deve diventare altrettanto automatizzata e intelligente per contrastare efficacemente questa minaccia.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
