Китайскоговорещ киберпрестъпник стартира кибератаки, които разтърсиха финансовия сектор на Южна Корея по-рано този месец, използвайки инструмента за пентестване ARTEX AI и Claude агенти.
Атакуващият взе под прицел множество корейски банки, включително Shinhan Bank, KB Kookmin Bank и Hana Bank, излагайки на риск личните данни и информацията за кредитни карти на клиенти, а в някои случаи причини и прекъсвания в работата на системите.
Правителството на Южна Корея реагира със спешно съвещание и призиви за незабавни мерки за сигурност за критичните ИТ системи.
Фирмата за сигурност CrowdStrike потвърди използването на ARTEX AI — доскоро софтуерен пакет за пентестване с отворен код, базиран на агенти и разработен в Китай.
Изследователите идентифицираха инфраструктурата на атакуващия и откриха отворени директории с истории на сесии от Claude Code, конфигурационни файлове на ARTEX и файлове с памет на Claude.
„Инстанцията на ARTEX е използвала DeepSeek v4.1-flash като основен LLM бекенд, а авторът на заплахата е допълнил този LLM с GLM-5.3 (Zhipu AI) и Grok 4.6 за допълнителни сесии в Claude Code“, обясняват от CrowdStrike.
„Авторът на заплахата най-вероятно е осъществил достъп до DeepSeek чрез LLM API прокси/препродавач xcai[.]pro“, отбелязват изследователите.
Тези записи също така предоставиха представа за дейностите на атакуващия, като целите съвпадат с тези, посочени в предишни съобщения за пробиви във финансовия сектор, което позволява свързване с висока степен на достоверност.
Тъй като злонамереният субект е използвал същите AI инструменти, за да създаде автобиография, той е разкрил идентификационни данни, контакти и подробности за профила си в Telegram.
Въз основа на информацията в автобиографията CrowdStrike заявява, че атакуващият може да е 26-годишен китаец, който е учил в Южнокитайския технологичен университет и живее в Маомин, Гуандун, Китай.
Изследователите обаче установиха, че атакуващият първоначално е посочил година на раждане 2007 г. Въпреки че личните данни може да принадлежат на лицето зад дейността, свързана с ARTEX, те не са достатъчно надеждни, за да потвърдят самоличността на автора на заплахата.
Записите показват, че атакуващият не е имал конкретен план за монетизиране на данните, откраднати от южнокорейските банки, и е поискал от Claude да предложи Telegram групи за продажба на данни, фокусирани върху Корея.
След като потвърди, че ARTEX е използван при реални атаки, разработчикът реши да направи проекта с затворен код и да прекрати последващите актуализации.
Въпреки това настоящият код на проекта е използван за създаване на производни версии на английски и корейски език, така че той все още е достъпен в сегашния си вид.