Хакер застосував ARTEX AI та Claude для атак на банки Південної Кореї

Китайськомовний хакер на початку жовтня атакував кілька банків Південної Кореї, використовуючи набір для тестування на проникнення ARTEX AI та агентів Claude. Серед цілей були Shinhan Bank, KB Kookmin Bank і Hana Bank. Внаслідок атак були розкриті персональні дані клієнтів і відомості про банківські картки, а в окремих випадках сталися перебої в роботі систем.

Інструменти для атаки

Як повідомляє BleepingComputer, компанія CrowdStrike підтвердила використання ARTEX AI — агентного набору для тестування на проникнення, який до недавнього часу був проєктом із відкритим кодом, розробленим у Китаї. Дослідники виявили інфраструктуру зловмисника та відкриті каталоги з історіями сесій Claude Code, конфігураційними файлами ARTEX і файлами пам’яті Claude.

За даними CrowdStrike, у виявленому екземплярі ARTEX як основну мовну модель застосовували DeepSeek v4.1-flash. Для додаткових сесій Claude Code зловмисник також використовував GLM-5.3 від Zhipu AI та Grok 4.6. Дослідники припустили, що доступ до DeepSeek міг здійснюватися через API-проксі або реселера xcai[.]pro.

Реакція та сліди діяльності

Записи з виявленої інфраструктури дали змогу співвіднести дії зловмисника з цілями, про які раніше повідомляли у зв’язку з інцидентами у фінансовому секторі Південної Кореї. Південнокорейський уряд після атак провів екстрене засідання та закликав негайно посилити захист критичних ІТ-систем.

У файлах також містилися дані, пов’язані з резюме, яке зловмисник створював за допомогою тих самих ШІ-інструментів. CrowdStrike зазначила, що ці відомості можуть стосуватися людини, яка стоїть за активністю з ARTEX, однак їх недостатньо для достовірного встановлення особи. Згідно із записами, конкретного плану монетизації викрадених банківських даних не було: зловмисник просив Claude запропонувати Telegram-групи для продажу даних, орієнтовані на Корею.

Після підтвердження використання ARTEX у реальних атаках розробник проєкту вирішив закрити вихідний код і припинити оновлення. Водночас наявний код уже використали для створення англомовних і корейськомовних похідних версій.