AI Infiltration Framework ARTEX Breaking Korea Bank: A Full Chain Reset

Syyskuun lopun ja lokakuun alun 2026 välisenä aikana useat korealaiset rahoituslaitokset altistuivat tietovuodoille. Se ei ole itse vuodon koko, vaan hyökkääjien jättämien rikospakkausten sarja: avoimen lähdekoodin tekoälyn penetraatiokehys ARTEX sekä yhdistelmä Claude Codea, DeepSeekiä, GLM:ää, Grokia. CrowdStrike lähes täysin palautettu koko operaation kautta avoin luettelo hyökkääjien omia palvelimia. Tämä on täysi yhteys, joka perustuu julkiseen tietoon.

Yhteenveto tapahtumista

Mukaan CrowdStrike 's raportti 7 päivänä lokakuuta 2026, hyökkääjä, joka ei ole vielä nimetty syy käynnistää kohdennetun hyökkäyksen Korean rahoitus-organisaatioita syyskuun lopussa lokakuun 2026 ja onnistuneesti vuotanut tietoja. Hyökkääjät arvioitiin kiinalaisiksi käyttäjiksi, taloudellisiksi motiiveiksi - ja keskiluottamukseksi - en tiedä. ARTEX-työkalun kiinalaisen kehitystaustan ja istunnossa havaitun kiinalaisen vihjeen perusteella.

On huomattava, että ARTEXin ja hyökkäyksen välinen yhteys perustuu pääasiassa hyökkääjien omiin lokeihin, joita vahingon kärsinyt virasto tai Korean virkamies ei ole vielä vahvistanut itsenäisesti. Eri tiedotusvälineiden vaikutuspiiriin kuuluvien laitosten määrä ei myöskään ole yhtenäinen (5, 7, 9 jne.), joten uhriksi joutumista koskevat tiedot ovat alustavia.

Mikä on ARTEX?

ARTEX on monitiedustelurakenteeseen perustuva avoimen lähdekoodin läpäisytestausjärjestelmä. Kuvauksensa mukaan se "käyttää useita agentteja tietojen keräämiseen, aukkojen havaitsemiseen, hyökkäysreititykseen, turvatyökaluihin soittamiseen ja vuodon validointiin." Se ei ole malli itsessään, mutta on vastuussa puheluiden järjestämisestä suurille ulkoisille malleille ja turvallisuustyökaluille.

Se käynnistettiin 26 päivänä heinäkuuta 2026 AGPL-3.0 -luvalla Automán-27:n allekirjoituksella. Kun tapahtuma tuli tunnetuksi, 8. lokakuuta, kehittäjä poisti projektin GitHub, joka totesi, että sitä ei enää päivitetty ja suljettu väärinkäytön vuoksi. Jäljennöstä ei kuitenkaan voida hakea hyllyltä korealaista haarukkaa.

III - Miten hyökkäys pääsi vauhtiin?

CrowdStrike sai ClaudeCode-istuntohistorian, ARTEX-asetustiedoston ja Claude-muistitiedoston hyökkääjäohjatusta palvelimen avoimesta hakemistosta, mikä palauttaa työkaluketjun ja käyttötekniikan:

• Kaksoispalvelimen rakenneYksi Hong Kongissa sijaitseva, tärkein infrastruktuuri, ja toinen IP (38,24,50,120) sisältää esimerkkejä todellisista hyökkäyksistä Korean kohteisiin.
• Työnjakomalli: ARTEX käyttää DeepSeek v4.1-flash päätaustana, ja käyttää aivospektri GLM-5.3 ja xAI 's Grok 4.6 tukeakseen Claude Code istuntoja. DeepSeekiä epäillään vierailleen API-agentin/myyjän xcai.pron luona.
• Proxy Jumper: Noin 9 proxy IPs käytetään liikenteen kauttakulku, muodostavat C2 ja infrastruktuurin kerrokset yhdessä master / esimerkki palvelimen.
• Clauden rooli: Ei vain tekninen apu. Lokitiedot osoittavat, että toiminnanharjoittaja pyysi myös Claudea etsimään korealaisen kieliryhmän, joka voisi myydä vuotaneet tiedot Koreassa, ja kirjoittamaan turvallisuustutkijan CV...

Neljä, miten jalka tuli ulos?

Avain tähän on se, että hyökkääjät jättivät infrastruktuurinsa avoimeen luetteloon. CrowdStrike luki suoraan .Claude/CLAUDE.md:stä IP 38.24.50.120:n 188999 satamassa. Suzudo löysi lisää avoimia hakemistoja Hongkongin IP:stä, joka sisältää koko istuntohistorian, ARTEX-kokoonpanon ja Claude-muistitiedostot.

Hyökkäysketjun tekninen sisältö ei toisin sanoen vastaa sen toimintahygieniatasoa: samalla kun se ajaa automaattista hyökkäystä etulinjan suurta mallia käyttäen, avainlokit ja konfiguraatiot liitetään julkisesti saatavilla olevaan luetteloon.

Vastuu ja luottamus: varovaisuus

CrowdStrike ei määrittele hänen toimintansa tunnettu vastustaja, mutta antoi kiinalaiskäyttäjä, taloudellinen motivaatio, keskipitkällä luottamus. Sessioihin vuotaneet henkilötiedot (nimi YY, puhelin, sähketili @YY520CN, China Polytechnic University, Maumin Guangdong jne.) ilmestyivät raporttiin, mutta raportin mukaan ei ole mahdollista vahvistaa, että tiedot ovat tällä hetkellä tekijä itse. Rekisteri totesi myös, että ikätiedot ovat epäjohdonmukaisia. Korean poliisi arvioi edelleen, tekikö teko yhden henkilön vai ryhmän.

Lainvalvontaviranomaisten olisi vahvistettava henkilötiedot, eikä niitä pitäisi levittää suoraan löydönä.

VI VICTIMS JA TIETOJEN JAKAMINEN

Pääsyn ilmoitettiin olevan kaksi hyvin epätavanomaista järjestelmää: rahoitusvälittäjien lainakehityskyselypalvelu ja henkilöstön mobiilitoimistotukijärjestelmä. Näiden järjestelmien yhteiset piirteet ovat: Internet-suuntautunut, helppokäyttöinen, eikä useinkaan ydinpankkijärjestelmän vahvistaminen.

Median nimisiä laitoksia ovat Shinhan Bank (noin 25 000 asiakasta), KB Kokmin Bank (119 henkilöä), Hana Bank (pieni myyntitukijärjestelmä), Yegaram Savings Bank (noin 40 000 ihmistä) ja 5 muuta, 7 ja 9 eri kaliiperia, yhteensä noin 68 000 henkilöä. Vuodettuja kenttiä ovat nimet, yhteystiedot, kotimaiset rekisterinumerot, vuotuiset tulot ja lainat - tiedot, jotka soveltuvat hyvin käytettäväksi tarkasti sosiaalityöntekijät ja myöhemmin petos.

Miksi puolustus hermostuisi?

On korostettava kahta seikkaa. Ensinnäkin ARTEX-merkkien löytäminen palvelimelta ei sinänsä osoita, että ARTEX olisi saanut hyökkäyksen päätökseen; raportissa mainitaan myös, että samaa voidaan sanoa syytteistä, jotka kohdistuvat tunnisteisiin ja hyökkäyksestä vähemmän suojattuun henkilöstön sisäänkäyntiin. Toiseksi pankit ja viranomaiset eivät tunnustaneet ARTEXin osallistumista tapahtumahetkellä.

Mutta mikä on vielä hälyttävämpää on työkalun ominaisuudet: ARTEX on Avoimen lähdekoodin julkaiseminen tarkoittaa sitä, että yksikään myyjä ei saa valvoa hyväksyttäviä käyttöehtoja, ei asiakaskatselmusta eikä käyttöoikeuden peruuttamista. Kehittäjien kontrinalaisuus selittää tarkasti tällaisen valvonnan rajat: haarukka, peili ja paikallinen kloonaus lähes väistämättä.

Lisää hieman lisää: Mallin tarjoajat voivat havaita ja keskeyttää omien palvelujensa väärinkäytön, mutta operaattori levittää työn useisiin toimittajiin. Pankkien ei pitäisi puolustautua olettaen, että mallivalmistajien aidat pysähtyvät ylävirtaan.

VIII POIKKEUSSUOSITUKSET

• Katsotaan, mitä siellä on.: Tämä portaali on tavallinen verkkopalvelu eikä mikään ydinjärjestelmä. Päivitä lista offline-varallisuuden kattaa asiakkaan kyselyportaalin ja siirtää back-ends henkilöstölle ja välittömästi poistua tai kiristää järjestelmiä, jotka eivät ole selvästi.
• Todentamisen vahvistaminen: Vahvista, että näiden palvelujen sertifiointi sisältää asiakirjat täytettäväksi.
• Pääsy uhkatietoindikaattoreihinMuu järjestäjä
• Automatisoitujen käyttäytymisominaisuuksien tunnistaminen: HF systemaattinen havaitseminen pienestä määrästä lähteitä, nopea iteratiivit vastaus virheisiin, yritykset nopeaan tavoitteiden väliseen muutokseen .
• Käytä samoja työkaluja valtuutettuun itsemittaus.• Määritetty havaitsemiskattavuus testaamalla omia altistuspalvelujaan käyttämällä ARTEX-tyyppisiä työkaluja erillisissä ympäristöissä ja kirjallista sitoutumista koskevia sääntöjä; ja välttämällä varmentamatonta haarukkaa ainoastaan paikallisesti rakennetuilla arvioinneilla.
• Kenttätason tietosuojab) Asukkaiden rekisterinumerot, tulot, lainalainat jne. olisi minimoitava, tunnistettava tai kenttätason salattava siten, että vahinko on vielä pienempi silloin, kun perifeeristä järjestelmää rikotaan.

Pidemmällä aikavälillä hallintoneuvostot ja riskiosastot on suunniteltava sellaisen uhkamallin mukaisesti, joka on reconnassance ja jonka yksi vaihe käyttää tulla halvemmaksi ja kestävämmäksi. Valvontaa, joka perustui aiemmin hyökkäyksen tekijöiden kustannuksiin, kuten kylmien ovien palvelut ilman havaitsemista ja hitaita laikkuja vähäisten järjestelmien . Samaan aikaan kaksikäyttötuotteet hyllyn alla eivät oikeastaan kaappaa niitä, ja niitä olisi seurattava jatkuvasti uhkatiedusteluhaarukan ja sitä seuraavien versioiden kautta sen sijaan, että odottaisimme työkalun nimeämistä.

Kun tiedustelun ja ensimmäisen käyttökierroksen kustannukset on työnnetty lähelle nollaa, "kukaan ei huomaa järjestelmääni" on ohi.