AI Infiltrare cadru ARTEX Breaking Korea Bank: Un lanț complet resetat

Între septembrie și începutul lunii octombrie 2026, mai multe instituții financiare coreene au fost expuse scurgerilor de date. Nu este mărimea scurgerii în sine, este setul de kituri de crime lăsate de atacatori: un cadru de penetrare al AI open source numit ARTEX, plus o combinație de cod Claude, DeepSeek, GLM, Grok. CrowdStrike aproape complet restaurat întreaga operațiune printr-un catalog deschis pe serverele proprii ale atacatorilor. Aceasta este o despărţire completă bazată pe informaţii publice.

Rezumatul evenimentelor

Potrivit raportului lui CrowdStrike din 7 octombrie 2026, un atacator care nu a fost încă numit ca fiind cauza a lansat un atac îndreptat împotriva organizaţiilor financiare coreene la sfârşitul lunii septembrie până la începutul lunii octombrie 2026 şi a scurs cu succes date. Atacatorii au fost evaluaţi ca utilizatori, motive economice şi ca având încredere medie - nu ştiu. Pe baza contextului de dezvoltare chinez al instrumentului ARTEX și a indiciului chinezesc observat în sesiune.

Trebuie remarcat faptul că legătura dintre ARTEX şi invazie se bazează în principal pe jurnalele proprii ale atacatorilor, care nu au fost încă confirmate independent de agenţia vătămată sau de oficialul coreean. Numărul instituţiilor afectate de diferitele mijloace de informare nu este nici uniform (5, 7, 9 etc.), aşa că datele privind victimizarea sunt provizorii.

Ce este Artex?

ARTEX este un sistem de testare a penetrării cu sursă deschisă, bazat pe o structură multi-inteligentă. Potrivit descrierii sale, "utilizează mai mulți agenți pentru a completa automat colectarea informațiilor, detectarea decalajelor, rutarea atacurilor, instrumentele de securitate pentru a apela și validarea scurgerilor." Nu este modelul în sine, ci este responsabil pentru organizarea apelurilor către modele externe mari și instrumente de securitate.

A fost lansat la 26 iulie 2026 cu permisiunea AGPL-3.0 sub semnătura Automán-27. După ce evenimentul a devenit cunoscut, la 8 octombrie, dezvoltatorul a eliminat proiectul de la GitHub, declarând că nu mai este actualizat și închis din cauza abuzurilor. Cu toate acestea, o copie a distribuției

III. Cum s-a ridicat un atac?

CrowdStrike a obținut istoricul sesiunii ClaudeCode, fișierul de configurare ARTEX și fișierul de memorie Claude din directorul deschis al serverului controlat de atac, restaurând astfel lanțul de instrumente și tehnica de operare:

• Structura serverului dubluUn IP, situat în Hong Kong, ca principala infrastructură, și un alt IP (38.24.50.120) poartă exemple de atacuri reale asupra țintelor coreene.
• Diviziunea model de muncă: ARTEX folosește DeepSeek v4.1-flash ca backend principal de raționament, și utilizează spectrul cerebral GLM-5.3 și xAI's Grok 4.6 pentru a sprijini sesiuni suplimentare de Cod Claude. DeepSeek este suspectat că a fost vizitat de un agent API / vânzător xcai.pro.
• Proxy Jumper: Aproximativ 9 IP proxy sunt utilizate pentru tranzitul traficului, formând straturi de C2 și de infrastructură împreună cu serverul master/exemplu.
• Rolul lui ClaudeNu doar asistenţă tehnică. Jurnalul arată că operatorul a cerut, de asemenea, Claude pentru a ajuta la găsirea grupului de limbă coreeană, care ar putea vinde datele scurgeri în Coreea și de a scrie un

Patru, cum a ieşit piciorul?

Cheia acestei expuneri este că atacatorii și-au lăsat infrastructura într-un catalog deschis. CrowdStrike a citit direct la .claude/CLAUDE.md pe portul 188999 din IP 38.24.50.120 Suzudo a găsit mai multe dosare deschise pe IP Hong Kong, care conţin istoricul complet al sesiunii, configuraţia ARTEX şi fişierele de memorie Claude.

Cu alte cuvinte, conținutul tehnic al lanțului de atac nu corespunde nivelurilor sale de igienă operațională: în timp ce conduce un atac automat utilizând un model mare de linie față, jurnalele și configurațiile cheie sunt atașate unui catalog accesibil publicului.

Atribuție și încredere: necesitatea de precauție

CrowdStrike nu a atribuit activitățile sale la un adversar bine-cunoscut, dar a dat un utilizator, motivație economică, încredere medie. Informaţiile personale au apărut în şedinţe (nume YY, telefon, cont de Telegramă @YY520CN, Universitatea Politehnică China, Maumin Guangdong, etc.) în raport, dar raportul în sine sugerează că nu este posibil să se confirme faptul că informaţia este în prezent autorul însuşi. De asemenea, Registrul a subliniat faptul că informațiile privind vârsta nu sunt coerente. Poliţia coreeană încă evaluează dacă actul a fost comis de o singură persoană sau de un grup.

Informațiile privind identitatea personală ar trebui confirmate de autoritățile de aplicare a legii și nu ar trebui difuzate direct ca constatări.

VI. VICTIMELE ȘI DISTRIBUȚIA DATELOR

S-a raportat că accesul este de două tipuri de sisteme foarte obişnuite: un serviciu de interogare a progresului creditului pentru brokerii financiari şi un sistem mobil de suport de birou pentru personal. Caracteristicile comune ale acestor sisteme sunt: orientate spre internet, construite pentru comoditate și adesea nu în cadrul consolidării sistemului bancar central.

Printre instituţiile cu nume media se numără Shinhan Bank (aproximativ 25.000 de clienţi), KB Kokmin Bank (119 de persoane), Hana Bank (micul sistem de susţinere a vânzărilor), Yegaram Savings Bank (aproximativ 40.000 de persoane) şi 5 altele, 7 şi 9 din diferitele calibre, cu un total de aproximativ 68 000 de date cu caracter personal expuse. Câmpurile scurgeri includ nume, detalii de contact, numere de înregistrare rezidente, linii anuale de venituri și împrumuturi - informații care sunt bine adaptate pentru utilizarea în lucrătorii sociali de precizie și frauda ulterioară.

De ce apărarea ar trebui să fie agitată?

Trebuie subliniate două aspecte. În primul rând, descoperirea mărcilor ARTEX pe server nu dovedeşte în sine că ARTEX a finalizat invazia; raportul menţionează, de asemenea, că acelaşi lucru se poate spune despre acuzaţiile împotriva umpluturii credibile şi atacul asupra intrării personalului mai puţin protejat. În al doilea rând, implicarea ARTEX nu a fost recunoscută public de bănci și autorități la momentul incidentului.

Dar ceea ce este mai alarmant este proprietățile de instrument: ARTEX este un instrument de testare Open source publication înseamnă că nici un furnizor nu este permis să aplice condiții de utilizare acceptabile, nici revizuirea clienților și nici anularea accesului. Creanța dezvoltatorilor explică cu precizie limitele unui astfel de control: furculița, oglinda și clonarea locală aproape inevitabil.

Adăugați un pic mai mult: Furnizorii de modele pot detecta și întrerupe abuzul propriilor servicii, dar operatorul extinde activitatea la mai mulți furnizori. Băncile nu ar trebui să pună apărări pe presupunerea că gardurile producătorilor de modele se vor opri în amonte.

VIII. RECOMANDĂRI PRIVIND DELIBRAREA

• Să vedem ce e acolo.: Acest portal este un serviciu web obișnuit, mai degrabă decât un sistem non-core. Actualizarea listei de active offline pentru a acoperi portalul de interogare a clienților și mutarea back-end-urilor către personal și ieșirea imediată sau înăsprirea sistemelor care nu sunt atribuite în mod clar.
• Autentificare consolidată: Confirmă că certificarea acestor servicii poartă documentația de completat.
• Accesul la indicatorii de informații privind amenințărileAlt organizator
• Identificarea caracteristicilor comportamentale automatizate: HF detectarea sistematică dintr-un număr mic de surse, iterative rapide de răspuns la erori, încercări de schimbare rapidă inter-țintă
• Utilizați aceleași instrumente pentru auto-măsurare autorizată.• Acoperire de detectare cuantificată prin testarea propriilor servicii de expunere folosind instrumente de tip ARTEX în medii segregate şi reguli scrise de angajare; şi evitarea furcii neverificate numai cu evaluări realizate local.
• Protecția datelor la nivel de teren(b) Numerele de înregistrare ale rezidenţilor, veniturile, liniile de împrumut etc. ar trebui minimizate, tokenizate sau criptate la nivel de câmp, astfel încât daunele să fie chiar mai mici atunci când sistemul periferic este încălcat.

Pe termen mai lung, consiliile de administrație și departamentele de risc trebuie să fie planificate în conformitate cu un model de amenințare pe care reconnaissance și o singură fază îl utilizează pentru a deveni mai ieftin și durabil. Controale care s-au bazat pe costul atacatorilor în trecut În același timp, produsele cu dublă utilizare de sub raft nu le capturează cu adevărat și ar trebui să fie urmărite continuu prin furculița de informații și versiunile ulterioare, în loc să aștepte ca un instrument să fie numit.

Când costul de recunoaștere și prima rundă de utilizare este împins aproape de zero, vârsta de viață de "nimeni nu va observa sistemul meu" este de peste.