एआई घुसपैठ फ्रेमवर्क एआरटीएक्स ब्रेकिंग कोरिया बैंक: एक पूर्ण श्रृंखला रीसेट

अक्टूबर 2026 के अंत में, कई कोरियाई वित्तीय संस्थानों को डेटा लीक के संपर्क में लाया गया। यह स्वयं रिसाव का आकार नहीं है, यह हमलावरों द्वारा छोड़े गए "क्राइम किट" का सेट है: एआरटीएक्स नामक एक खुला स्रोत एआई प्रवेश ढांचा, साथ ही क्लाउड कोड, डीपसेक, जीएलएम, ग्रोक का संयोजन। क्राउडस्ट्रिक ने हमलावरों के अपने सर्वर पर एक खुली सूची के माध्यम से पूरे ऑपरेशन को पूरी तरह से बहाल कर दिया। यह सार्वजनिक सूचना के आधार पर एक पूर्ण-लिंक ब्रेक-अप है।

घटनाओं का सारांश

CrowdStrike की 7 अक्टूबर 2026 की रिपोर्ट के अनुसार, एक हमलावर जिसे अभी तक नहीं नामित किया गया है, ने सितंबर 2026 के अंत में कोरियाई वित्तीय संगठनों के खिलाफ एक लक्षित हमला शुरू किया और सफलतापूर्वक डेटा लीक किया। हमलावरों का आकलन "चीनी उपयोगकर्ताओं, आर्थिक उद्देश्यों" के रूप में किया गया था और जैसा कि मध्यम विश्वास है - मुझे नहीं पता। उपकरण एआरटीएक्स की चीनी विकास पृष्ठभूमि और सत्र में चीनी संकेत के आधार पर।

यह ध्यान दिया जाना चाहिए कि एआरटीएक्स और आक्रमण के बीच का लिंक मुख्य रूप से हमलावरों के अपने लॉग पर आधारित है, जिसे अभी तक घायल एजेंसी या कोरियाई अधिकारी द्वारा स्वतंत्र रूप से पुष्टि नहीं की गई है। विभिन्न मीडिया से प्रभावित संस्थानों की संख्या भी समान (5, 7, 9 आदि) नहीं है, इसलिए पीड़ित होने पर डेटा अनंतिम है।

क्या है?

एआरटीएक्स एक खुला स्रोत प्रवेश परीक्षण प्रणाली है जो बहु-इंटेलिजेंस संरचना पर आधारित है। इसके विवरण के अनुसार, यह "स्वचालित रूप से सूचना संग्रह, अंतराल का पता लगाने, हमला रूटिंग, सुरक्षा उपकरण को कॉल करने और लीक सत्यापन के लिए पूरा करने के लिए एकाधिक एजेंटों का उपयोग करता है। यह खुद मॉडल नहीं है, लेकिन बड़े बाहरी मॉडल और सुरक्षा उपकरण को कॉल करने के लिए जिम्मेदार है।

इसे 26 जुलाई 2026 को AGPL-3.0 अनुमति के साथ ऑटोमन-27 के हस्ताक्षर के तहत लॉन्च किया गया था। घटना के बाद, 8 अक्टूबर को, डेवलपर ने परियोजना को गिटहब से हटा दिया, यह बताते हुए कि अब दुरुपयोग के कारण इसे अपडेट और बंद नहीं किया गया था। हालांकि, वितरण की एक प्रति - कोरियाई कांटा ने कथित तौर पर दिखाई दिया है - शेल्फ से पुनर्प्राप्त नहीं किया जा सकता है।

III पूरी श्रृंखला को नष्ट करना: हमला कैसे हुआ?

CrowdStrike ने क्लाउडकोड सत्र इतिहास, एआरटीएक्स कॉन्फ़िगरेशन फ़ाइल और क्लाउड मेमोरी फ़ाइल को हमलावर नियंत्रित सर्वर ओपन डायरेक्टरी से प्राप्त किया, इस प्रकार टूल चेन और ऑपरेटिंग तकनीक को बहाल किया:

• डबल सर्वर संरचनाएक आईपी, हांगकांग में स्थित है, मुख्य बुनियादी ढांचे के रूप में, और एक अन्य आईपी (38.24.50.120) कोरियाई लक्ष्य पर वास्तविक हमलों के उदाहरण हैं।
• श्रम का मॉडल प्रभागएआरटीएक्स डीपसेक v4.1-फ्लैश का उपयोग मुख्य तर्क बैकेंड के रूप में करता है और अतिरिक्त क्लाउड कोड सत्रों का समर्थन करने के लिए मस्तिष्क स्पेक्ट्रम जीएलएम -5.3 और एक्सएआई के ग्रोक 4.6 का उपयोग करता है। डीपसेक को एक एपीआई एजेंट / विक्रेता xcai.pro द्वारा दौरा किया गया है।
• प्रॉक्सी जम्पर: लगभग 9 प्रॉक्सी आईपी का उपयोग ट्रैफिक ट्रांजिट के लिए किया जाता है, जिससे सी 2 और अवसंरचना परतों को मास्टर / एक्सम्यूम सर्वर के साथ बनाया जाता है।
• क्लाउड की भूमिका: सिर्फ तकनीकी सहायता नहीं। लॉग से पता चलता है कि ऑपरेटर ने क्लाउड को कोरियाई भाषा समूह को खोजने में मदद करने के लिए कहा जो लीक किए गए डेटा को कोरिया में बेच सकता है और CV प्रविष्टियों में आक्रमण के परिणामों को लिखने के लिए "सुरक्षा शोधकर्ता का CV" लिखने के लिए।

चार, पैर कैसे बाहर आया?

इस जोखिम की कुंजी यह है कि हमलावरों ने अपने बुनियादी ढांचे को "ओपन कैटलॉग" में छोड़ दिया। CrowdStrike सीधे IP 38.24.50.120 के 188999 बंदरगाह पर .claude/CLAUDE.md पर पढ़ा - एक चीनी भाषा प्रवेश परीक्षण चेतावनी दस्तावेज जो LLM को कैसे संचालित करना चाहिए सेट करता है। सुज़ुडो ने हांगकांग आईपी पर अधिक खुला निर्देशिका पाई, जिसमें पूर्ण सत्र इतिहास, एआरटीएक्स कॉन्फ़िगरेशन और क्लाउड मेमोरी फाइल शामिल हैं।

दूसरे शब्दों में, हमला श्रृंखला की तकनीकी सामग्री अपने परिचालन स्वच्छता स्तरों से मेल नहीं खाती है: जबकि फ्रंट-लाइन बड़े मॉडल, कुंजी लॉग और कॉन्फ़िगरेशन का उपयोग करके एक स्वचालित हमले को सार्वजनिक रूप से सुलभ सूची से जोड़ा जाता है।

विशेषता और आत्मविश्वास: सावधानी की आवश्यकता

क्राउडस्ट्रिक ने अपनी गतिविधियों को एक प्रसिद्ध प्रतिद्वंद्वी को जिम्मेदार नहीं ठहराया, लेकिन उन्होंने "चीनी उपयोगकर्ता, आर्थिक प्रेरणा, मध्यम विश्वास" निर्णय दिया। व्यक्तिगत जानकारी सत्रों में लीक हुई (नाम YYY, टेलीफोन, टेलीग्राम खाता @ YY520CN, चीन पॉलिटेक्निक विश्वविद्यालय, Maumin Guangdong, आदि) रिपोर्ट में दिखाई दिया, लेकिन रिपोर्ट में स्वयं यह सुझाव दिया गया है कि यह पुष्टि करना संभव नहीं है कि वर्तमान में सूचना स्वयं अपराधी है। रजिस्टर ने यह भी बताया कि उम्र की जानकारी असंगत थी। कोरियाई पुलिस अभी भी आकलन कर रही हैं कि क्या अधिनियम एक व्यक्ति द्वारा या एक समूह द्वारा प्रतिबद्ध था।

व्यक्तिगत पहचान की जानकारी कानून प्रवर्तन अधिकारियों द्वारा पुष्टि की जानी चाहिए और इसे सीधे खोज के रूप में अस्वीकार नहीं किया जाना चाहिए।

VI. VICTIMS and DISTRIBUTION of DATA

एक्सेस को सिस्टम के दो बहुत ही "पारंपरिक" प्रकार की सूचना दी गई थी: वित्तीय ब्रोकरों के लिए ऋण प्रगति क्वेरी सेवा और कर्मचारियों के लिए मोबाइल ऑफिस सपोर्ट सिस्टम। इन प्रणालियों की सामान्य विशेषताएं हैं: इंटरनेट उन्मुख, सुविधा के लिए बनाया गया, और अक्सर कोर बैंकिंग प्रणाली के सुदृढ़ीकरण के भीतर नहीं।

मीडिया नामित संस्थानों में शिनहान बैंक (लगभग 25,000 ग्राहक), KB Kokmin बैंक (119 लोग), Hana बैंक (छोटे बिक्री समर्थन प्रणाली), Yegaram बचत बैंक (लगभग 40,000 लोग), और 5 अन्य, 7 और 9 विभिन्न कैलिबरों, लगभग 68,000 व्यक्तिगत डेटा उजागर के साथ शामिल हैं। लीक क्षेत्रों में नाम, संपर्क विवरण, निवासी पंजीकरण संख्या, वार्षिक आय और ऋण लाइनें शामिल हैं - जानकारी जो सटीक सामाजिक श्रमिकों और बाद में धोखाधड़ी में उपयोग के लिए उपयुक्त है।

क्या रक्षा तंत्रिका होनी चाहिए?

दो बिंदुओं पर प्रकाश डाला जाना चाहिए। सबसे पहले, सर्वर पर एआरटीएक्स के निशान का पता स्वयं यह साबित नहीं होता कि एआरटीएक्स ने आक्रमण पूरा किया; रिपोर्ट में यह भी उल्लेख किया गया है कि उसी को क्रेडेंशियल स्टफिंग और कम संरक्षित स्टाफ प्रवेश द्वार पर हमले के खिलाफ आरोपों से कहा जा सकता है। दूसरा, एआरटीएक्स की भागीदारी सार्वजनिक रूप से बैंकों और अधिकारियों द्वारा घटना के समय स्वीकार नहीं की गई थी।

लेकिन अधिक खतरनाक क्या है उपकरण गुण: एआरटीएक्स एक "डुअल-यूज़" प्राधिकरण परीक्षण उपकरण है जिसका कार्य हमलावरों के साथ अत्यधिक ओवरलैप करता है - पता लगाने, लूपहोल का पता लगाने, चयन का उपयोग, सत्यापन। ओपन सोर्स प्रकाशन का मतलब है कि कोई विक्रेता स्वीकार्य उपयोग शर्तों को लागू करने की अनुमति नहीं है, कोई ग्राहक समीक्षा नहीं और एक्सेस को रद्द करने की अनुमति नहीं है। डेवलपर्स का योगदान इस तरह के नियंत्रण की सीमाओं को स्पष्ट रूप से बताता है: कांटा, दर्पण और स्थानीय क्लोनिंग लगभग अनिवार्य रूप से।

कुछ और जोड़ें: मॉडल प्रदाता अपनी सेवाओं के दुरुपयोग का पता लगा सकते हैं और बाधित कर सकते हैं, लेकिन ऑपरेटर कई आपूर्तिकर्ताओं के लिए काम फैलता है। बैंक को इस धारणा पर रक्षा नहीं करनी चाहिए कि "मॉडल निर्माताओं की बाड़ अपस्ट्रीम को रोक देगी"।

VIII वितरण की सिफारिश

• चलो देखते हैं कि वहाँ क्या है।यह पोर्टल एक साधारण वेब सेवा है, बल्कि एक गैर-कोर प्रणाली के बजाय। ग्राहक क्वेरी पोर्टल को कवर करने के लिए ऑफ़लाइन परिसंपत्तियों की सूची को अद्यतन करें और कर्मचारियों को वापस जाने और तुरंत बाहर निकलने या सिस्टम को कसने के लिए जो स्पष्ट रूप से जिम्मेदार नहीं हैं।
• प्रमाणीकरण मजबूती: पुष्टि करें कि इन सेवाओं का प्रमाणीकरण दस्तावेज़ीकरण को भरने के लिए करता है।
• धमकी खुफिया संकेतकों तक पहुंचअन्य आयोजक
• स्वचालित व्यवहार विशेषताओं की पहचानएचएफ एक छोटी संख्या में स्रोतों से व्यवस्थित पहचान, त्रुटियों के जवाब के तेजी से पुनरावृत्ति, रोबोट प्रबंधन नियमों के साथ तेजी से अंतर-लक्ष्य परिवर्तन पर प्रयास करता है।
• अधिकृत आत्म-प्राप्ति के लिए एक ही उपकरण का उपयोग करें।• अलग-अलग वातावरणों और सगाई के लिखित नियमों में एआरटीएक्स-प्रकार के उपकरणों का उपयोग करके अपनी स्वयं की एक्सपोज़र सेवाओं के परीक्षण के माध्यम से क्वांटिफाइड डिटेक्शन कवरेज; और केवल स्थानीय रूप से निर्मित समीक्षाओं के साथ एकीकृत कांटा से बचने के लिए।
• फील्ड स्तर डेटा सुरक्षा(b) निवासी पंजीकरण संख्या, आय, ऋण रेखा आदि को कम से कम, टोकनाइज़्ड या फील्ड लेवल एनक्रिप्ट किया जाना चाहिए ताकि जब परिधीय प्रणाली का उल्लंघन हो तो क्षति भी कम हो।

दीर्घकाल में, निदेशकों और जोखिम विभागों के बोर्डों को एक खतरे के मॉडल के अनुसार योजनाबद्ध करने की आवश्यकता होती है जो "पुनर्विचार और एक चरण सस्ता और टिकाऊ बनने का उपयोग करता है। नियंत्रण जो अतीत में हमलावरों की लागत पर निर्भर करता है - जैसे कि निम्न-प्राथमिकता प्रणालियों का पता लगाने और धीमा पैच के बिना शीत-दरवाजा सेवाओं - को आश्वस्त करने की आवश्यकता है। उसी समय, शेल्फ के तहत दोहरे उपयोग की जाने वाली वस्तुएं वास्तव में उन्हें पकड़ती नहीं हैं और इसे एक उपकरण के नाम पर जाने के बजाय खतरे की खुफिया फोर्क और बाद के संस्करणों के माध्यम से लगातार ट्रैक किया जाना चाहिए।

जब पुनर्जागरण की लागत और उपयोग के पहले दौर को शून्य के करीब धकेल दिया जाता है, तो "कोई भी मेरी प्रणाली को नोटिस नहीं करेगा" द्वारा रहने की उम्र खत्म हो गई है।