Infiltrasi Infiltrasi Infiltrasi Framework ARTEX Breaking Bank Korea: A Full Chain Reset

Antara akhir September dan awal Oktober 2026, beberapa lembaga keuangan Korea terkena kebocoran data. Ini bukan ukuran kebocoran itu sendiri, itu adalah set \"klimen kejahatan\" yang ditinggalkan oleh penyerang: sebuah kerangka penetrasi AI sumber terbuka yang disebut ARTEX, ditambah kombinasi Claude Code, DeepSeek, GLM, Grok. crowdCotrike hampir sepenuhnya memulihkan seluruh operasi melalui katalog terbuka pada server penyerang 'sendiri. Ini adalah pemutusan hubungan penuh berdasarkan informasi publik.

Peta konsep rantai rantai serangan serangan kerangka kerja Permeabilitas Kepermeabilitas AI UIN

Ringkasan peristiwa

Menurut laporan CrowdStrike ' s 7 October 2026, penyerang yang belum diberi nama sebagai penyebab meluncurkan serangan target terhadap organisasi keuangan Korea pada akhir September hingga awal Oktober 2026 dan berhasil membocorkan data. Para penyerang itu dinilai sebagai \"pengguna Cina, motif ekonomi\" dan sebagai memiliki kepercayaan diri sedang - saya tidak tahu. Berdasarkan latar belakang perkembangan Tiongkok dari alat ARTEX dan petunjuk Tiongkok yang diamati dalam sesi.

Perlu dicatat bahwa hubungan antara ARTEX dan invasi didasarkan terutama pada log penyerang sendiri, yang belum dikonfirmasi secara independen oleh badan yang terluka atau pejabat Korea. Jumlah institusi yang dipengaruhi oleh media yang berbeda juga tidak seragam (5, 7, 9 dll), sehingga data mengenai korbanisasi bersifat sementara.

Apa itu ARTEX?

ARTEX adalah sistem pengujian penetrasi open-source yang didasarkan pada struktur multi-intelijen. Menurut deskripsinya, itu "menggunakan beberapa agen untuk otomatis melengkapi koleksi informasi, deteksi celah, routing serangan, alat keamanan untuk panggilan dan kebocoran validasi". Ini bukan model itu sendiri, tetapi bertanggung jawab untuk mengatur panggilan ke model eksternal besar dan alat keamanan.

Ini diluncurkan pada 26 Juli 2026 dengan izin AGPL-3.0, di bawah tanda tangan Automán-27. Setelah peristiwa tersebut diketahui, pada 8 Oktober, pengembang menghapus proyek dari GitHub, menyatakan bahwa proyek tersebut tidak lagi diperbarui dan ditutup karena penyalahgunaan. Namun, salinan distribusi itu — garpu Korea telah dilaporkan muncul — tidak dapat diambil dari rak.

/ III. Bagaimana serangannya?

ARTEX file konfigurasi dan berkas memori Claude dari server yang dikendalikan penyerang membuka direktori, sehingga memulihkan rantai alat dan teknik operasi:

Struktur server gandaSalah satu IP, yang terletak di Hong Kong, sebagai infrastruktur utama, dan IP lainnya (38.24.50.120) membawa contoh serangan sebenarnya terhadap target Korea.
Divider model tenaga kerjaARTEX menggunakan DeepSeek v4.1-flash sebagai backend penalaran utama, dan menggunakan spektrum otak GL7-5.3 dan xAI's Grok 4.6 untuk mendukung sesi Claude Code tambahan. API/seller xcai.pro.
Jumper Proksi HaxSekitar 9 IP proksi digunakan untuk transit lalu lintas, membentuk C2 dan lapisan infrastruktur bersama dengan server master/examples.
Peranan ClaudeBukan hanya bantuan teknis. Log tersebut menunjukkan bahwa operator tersebut juga meminta Claude untuk membantu menemukan kelompok bahasa Korea yang dapat menjual data yang bocor di Korea dan menulis \"CV Peneliti Kejam\" untuk menuliskan hasil invasi ke entri CV.

Sebuah direktori terbuka dan rantai alat untuk penyerang

Empat, bagaimana kaki keluar?

Kunci dari paparan ini adalah para penyerang meninggalkan infrastruktur mereka dalam sebuah \"katalog terbuka\". .claude/CLAUDE.md pada port 188999 dari IP 38.24.50.120 — dokumen peringatan peringatan uji penetrasi bahasa Cina yang menetapkan bagaimana LLM seharusnya beroperasi. Suzudoō menemukan lebih banyak direktori terbuka pada IP Hong Kong, yang berisi sejarah sesi penuh, konfigurasi ARTEX dan berkas memori Claude.

Dengan kata lain, konten teknis dari rantai serangan tidak sesuai dengan tingkat kebersihan operasionalnya: saat mengendarai serangan otomatis menggunakan model besar garis depan, log kunci dan konfigurasi dipasang pada katalog yang dapat diakses publik.

Atribusi dan keyakinan: perlunya berhati - hati

Motivasi \"Cina, ekonomi, kepercayaan diri sedang\". Informasi pribadi yang bocor dalam sesi (nama YY, telepon, akun Telegram @YYY520CN, China Polytechnic University, Maumin Guangdong, dll.) muncul dalam laporan, tetapi laporan itu sendiri menunjukkan bahwa tidak mungkin untuk mengkonfirmasi bahwa informasi saat ini pelaku sendiri. The Register juga menunjukkan bahwa informasi usia tidak konsisten. Polisi Korea masih menilai apakah tindakan tersebut dilakukan oleh satu orang atau oleh sebuah kelompok.

Informasi identitas pribadi identitas pribadi harus disahkan oleh aparat penegak hukum dan tidak boleh langsung disebarluaskan sebagai temuan.

VI. VIKTIMS DAN DATA DATA

Akses dilaporkan menjadi dua jenis sistem yang sangat \"konvensional\", sebuah layanan pertanyaan kemajuan pinjaman untuk pialang keuangan dan sistem dukungan kantor seluler untuk staf. Fitur umum sistem-sistem ini adalah: berorientasi Internet, dibangun untuk kenyamanan, dan sering kali tidak dalam penguatan sistem perbankan inti.

Lembaga-lembaga yang dinamai oleh Media antara lain Shinhan Bank (sekitar 25.000 klien), KB Kokmin Bank (119 orang), Hana Bank (sistem dukungan penjualan kecil), Yegaram Savings Bank (sekitar 40.000 orang), dan 5 orang lainnya, 7 dan 9 dari berbagai kaliber, dengan total sekitar 68.000 data pribadi yang terpapar. Bidang yang bocor mencakup nama, rincian kontak, nomor pendaftaran penduduk, pendapatan tahunan dan jalur pinjaman - informasi yang cocok digunakan dalam pekerja sosial yang presisi dan penipuan selanjutnya.

Data masuk dan bidang data sensitif dan data yang masuk secara teratur secara dedahan

Mengapa pertahanan harus gugup?

Dua poin perlu disorot. Pertama, penemuan tanda ARTEX pada server tidak membuktikan sendiri bahwa ARTEX menyelesaikan invasi; laporan juga menyebutkan bahwa hal yang sama dapat dikatakan tentang tuduhan terhadap barangan kredensial dan serangan pada pintu masuk staf yang kurang dilindungi. Kedua, keterlibatan ARTEX tidak diakui publik oleh bank dan pihak berwenang pada saat kejadian.

Namun yang lebih mengkhawatirkan adalah properti alatnya: ARTEX adalah alat uji otorisasi \"dual-use\" yang fungsinya sangat tumpang tindih dengan para penyerang — deteksi, deteksi celah, penggunaan seleksi, validasi. Publikasi sumber terbuka UDEL berarti bahwa tidak ada vendor yang diizinkan untuk memberlakukan istilah penggunaan yang dapat diterima, tidak ada ulasan pelanggan dan tidak ada pembatalan akses. Kecanggihan pengembang menjelaskan dengan tepat batas-batas kontrol seperti itu: garpu, cermin, dan kloning lokal hampir pasti.

Tambah sedikit lagi: Model provider dapat mendeteksi dan mengganggu penyalahgunaan layanan mereka sendiri, tetapi operator menyebarkan pekerjaan ke pemasok ganda. Bank - Bank tidak boleh menempatkan pertahanan pada asumsi bahwa ” pagar pabrik model akan berhenti di hulu ”.

Perpecahan multimodel dari kedalaman tenaga kerja dan pertahanan

VIII. PENDIDIKAN DELIBERASI

Mari kita lihat apa yang ada di luar sana.Portal ini adalah layanan Web biasa, daripada sistem non-core. Setelah memperbarui daftar aset offline untuk menutupi portal pertanyaan pelanggan dan memindahkan back-ends ke staf dan segera keluar atau memperketat sistem yang tidak jelas dikaitkan.
Autentikasi bantuanMemastikan bahwa sertifikasi layanan ini membawa dokumentasi untuk diisi.
Akses ke indikator intelijen ancamanPenyusun:
Identifikasi karakteristik perilaku otomatisDeteksi sistematis HF dari sejumlah kecil sumber, iteratif cepat respon terhadap kesalahan, upaya perubahan antar target yang cepat — menyelaraskan WAF dengan aturan manajemen robot.
Kau menggunakan alat yang sama untuk memotong sendiri.Mekuantifikasi cakupan deteksi melalui pengujian layanan eksposur sendiri menggunakan alat tipe ARTEX dalam lingkungan terpisah dan aturan tertulis keterlibatan; dan menghindari fork yang belum diverifikasi hanya dengan ulasan yang dikonstruksi secara lokal.
Perlindungan data tingkat lapanganNomor pendaftaran penduduk, pendapatan, garis pinjaman, dll harus diminimalkan, ditoken atau dienkripsi tingkat lapangan, sehingga kerusakannya bahkan lebih kecil ketika sistem periferal dilanggar.

Pada masa yang lebih lama, dewan direktur dan departemen risiko perlu direncanakan sesuai dengan model ancaman yang ” rekonnaissance dan satu fase digunakan untuk menjadi lebih murah dan berkelanjutan ”. Pengendalian yang mengandalkan biaya dari para penyerang di masa lalu — seperti layanan pintu dingin tanpa deteksi dan patch lambat dari sistem prioritas rendah — perlu dipertimbangkan kembali. Pada saat yang sama, barang-barang dua-guna di bawah rak tidak benar-benar menangkap mereka dan harus dilacak terus menerus melalui garpu intelijen ancaman dan versi selanjutnya, daripada menunggu alat untuk dinamai.

Ketika biaya pengintaian dan putaran pertama pemanfaatan didorong mendekati nol, usia hidup oleh "tidak ada yang akan melihat sistem saya" sudah berakhir.