AI Infit Framework ARTEX Разрушаване на Корейската банка: пълно рестартиране на веригата

Между края на септември и началото на октомври 2026 г. няколко корейски финансови институции бяха изложени на изтичане на данни. Това не е размера на самата теч, това е набор от комплекта на криминални комплекти, оставени от нападателите: отворен източник AI проникване рамка, наречена ESTEX, плюс комбинация от Клод Код, DeepSeek, GLM, Grok. CrowdStrike почти напълно възстанови цялата операция чрез отворен каталог на собствените сървъри на нападателите. Раздялата е пълна, въз основа на обществена информация.

Резюме на събитията

Според доклада на CrowdStrike от 7 октомври 2026 г., нападател, който все още не е обявен за причина, започна целенасочена атака срещу корейските финансови организации в края на септември до началото на октомври 2026 г. и успешно изтече информация. Атакуващите бяха оценени като потребители, икономически невалидни и със средно доверие - не знам. Въз основа на китайския фон за развитие на инструмента ARTEX и китайския намек, наблюдавани през сесията.

Трябва да се отбележи, че връзката между ARTEX и инвазията се основава главно на собствените дневници на нападателите, които все още не са потвърдени независимо от ранените агенции или корейския служител. Броят на засегнатите от различните медии институции също не е еднакъв (5, 7, 9 и т.н.), така че данните за виктимизацията са временни.

Какво е ARTEX?

ARTEX е система за изпитване на проникване с отворен код, базирана на многоинтелигентна структура. Според описанието му, тя "използва множество агенти за автоматично попълване на събиране на информация, откриване на празнина, маршрутизиране на атаката, инструменти за сигурност, за да се обади и да изтече валидирането." Това не е самият модел, а е отговорен за организирането на призиви към големи външни модели и охранителни инструменти.

Стартира на 26 юли 2026 г. с разрешение AGPL-3.0 под подписа на Automán-27. След като събитието стана известно, на 8 октомври предприемачът премахна проекта от GitHub, заявявайки, че той вече не е актуализиран и затворен поради злоупотреба. Въпреки това, копие от разпространението на горска вилица се е появила, но не може да бъде извлечена от рафта.

III. Демонтиране на цялата верига: как е станала атаката?

CrowdStrike получи ClaudeCode история на сесията, ARTEX конфигурационен файл и Claude памет файл от сървъра, контролиран от нападателя отворен директория, като по този начин възстановяване на веригата инструменти и оперативна техника:

• Двойна сървърна структураЕдин РП, разположен в Хонконг, като основна инфраструктура, а друг РП (38.24.50.120) носи примери за действителни нападения срещу корейски цели.
• Образец на разделение на труда: ARTEX използва DeepSeek v4.1-flash като основен аргумент за подкрепа, и използва мозъчния спектър GLM-5.3 и xAI's Grok 4.6 в подкрепа на допълнителни сесии Claude Code. DeepSeek е заподозрян, че е бил посетен от агент на API/продавач xcai.pro.
• Скокове: За транзит се използват около 9 прокси IP-та, образуващи C2 и инфраструктурни слоеве заедно с главния сървър/пример.
• Ролята на КлодНе само техническа помощ. В дневника се показва, че операторът също така поиска Клод да помогне да се намери корейската езикова група, която може да продаде изтеклите данни в Корея и да напише по-голям брой научни изследвания CV.

Четири, как излезе кракът?

Ключът към тази експозиция е, че нападателите са оставили инфраструктурата си в отворен офшор. CrowdStrike чете директно в .claude/CLAUDE.md на 188999 пристанище на IP 38.24.50.120 . . .Chine-language тест за проникване документ, който определя как LLM трябва да работи. Suzudo намери по-отворени директории на Хонг Конг IP, които съдържат пълна история на сесията, ARTEX конфигурация и Claude памет файлове.

С други думи, техническото съдържание на атакуващата верига не съответства на нейните нива на оперативна хигиена: докато шофира автоматизирано нападение с помощта на голям модел, ключови дневници и конфигурации са прикрепени към публично достъпен каталог.

Атрибут и увереност: необходимостта от предпазливост

CrowdStrike не приписват дейността си на добре известен противник, но даде на един нечий потребител, икономическа мотивация, средно доверие . Личната информация изтекла в сесиите (име YY, телефон, телеграма @YY520CN, Китайски политехнически университет, Maumin Guangdong и др.) се появи в доклада, но самият доклад показва, че не е възможно да се потвърди, че информацията в момента е самият извършител. Регистърът също така посочи, че възрастовата информация е непоследователна. Корейската полиция все още преценява дали актът е бил извършен от едно лице или от група.

Личните данни за самоличност следва да бъдат потвърдени от правоприлагащите органи и не следва да се разпространяват пряко като констатация.

VI. ВИКТИМИ И РАЗПРЕДЕЛЕНИЕ НА ДАННИТЕ

Достъп е докладвано, че са два много конвенционални типа системи: услуга за кредитиране на финансови брокери и мобилна система за поддръжка на офис за персонала. Общи характеристики на тези системи са: Интернет-ориентирани, построени за удобство, и често не в рамките на укрепването на основната банкова система.

Медийните институции включват Shinhan Bank (приблизително 25 000 клиенти), KB Kokmin Bank (119 души), Hana Bank (система за подпомагане на малки продажби), Yegaram Savings Bank (приблизително 40000 души) и 5 други, 7 и 9 различни калибъра, с общо около 68 000 лични данни изложени. Изтеклите полета включват имена, данни за контакт, резидентни регистрационни номера, годишни доходи и кредитни линии - информация, която е подходяща за използване при прецизни социални работници и последващи измами.

Защо защитата да е нервна?

Трябва да бъдат подчертани две точки. Първо, откриването на ARTEX марки на сървъра не доказва само по себе си, че ARTEX е приключил инвазията; в доклада се споменава също, че същото може да се каже и за обвиненията срещу очевиден плънка и нападението на по-малко защитен вход на персонала. Второ, участието на ARTEX не е било публично признато от банките и органите по време на инцидента.

Но това, което е по-обезпокояващо, е свойствата на инструмента: ESTEX е инструмент за тест за невалидно използване, чиито функции се припокриват силно с тези на нападателите, засичане на вратички, използване на селекция, валидиране. Публикуване на отворен код означава, че на продавача не е позволено да прилага приемливи условия за използване, не е направен преглед на клиента и не е отменен достъп. Контрагенцията на разработчиците обяснява точно границите на такъв контрол: вилица, огледало и местно клониране почти неизбежно.

Добави малко повече: Доставчиците на модели могат да откриват и прекъсват злоупотребите със собствените си услуги, но операторът разпределя работата на множество доставчици. Банките не следва да поставят защитни мерки на предположението, че оградите на производителите на модели ще бъдат отменени.

VIII. ПРЕПОРЪКИ ЗА РАЗТВОРЯВАНЕ

• Да видим какво има там.: Този портал е обикновен уеб услуга, а не не основна система. Обновяване на списъка с офлайн активи, за да покрие портала за запитване на клиента и да преминете обратно към персонала и незабавно излизане или затягане на системи, които не са ясно определени.
• Удостоверяване на укрепването: Потвърдете, че сертифицирането на тези услуги носи документацията за попълване.
• Достъп до показатели за разузнаване за заплахаДруг организатор
• Идентификация на автоматизираните поведенчески характеристики: HF системно откриване от малък брой източници, бързи итеративи на отговор на грешки, опити за бързо интер-неутрално изменение гол WAF с роботизирани правила за управление.
• Използвайте същите инструменти за разрешено самоизмерване.• Количествено покритие за откриване чрез тестване на собствените си услуги по облъчване с помощта на инструменти от тип ARTEX в отделни среди и писмени правила за ангажиране; и избягване на непотвърдена вилица само с местни прегледи.
• Защита на данните на полеви нива(б) Жилищни регистрационни номера, доходи, кредитни линии и т.н. трябва да бъдат сведени до минимум, символизирани или криптирани нива, така че щетите да са още по-малки, когато периферната система е нарушена.

В по-дългосрочен план бордовете на директорите и рисковите отдели трябва да бъдат планирани според модел на заплаха, който го прави по-евтино и устойчиво. Контроли, които разчитаха на разходите на нападателите в миналото, като например услуги на студени врати, без откриване и бавни щипки на нископриоритетни системи, които трябваше да бъдат преоценени. В същото време изделията с двойна употреба под рафта не ги улавят наистина и следва да бъдат проследявани непрекъснато чрез вилица и последващи версии, вместо да чакат името на инструмент.

Когато цената на разузнаването и първия кръг на използване е избутана близо до нула, възрастта на живот от "никой няма да забележи моята система" е приключила.