ARTEX: pentest cu IA folosit împotriva băncilor sud-coreene

Între sfârșitul lui septembrie și începutul lui octombrie 2026, un atacator a compromis mai multe organizații financiare din Coreea de Sud și a sustras date de la acestea, bazându-se aproape în întregime pe instrumente de inteligență artificială. Campania a fost reconstituită de CrowdStrike într-un raport publicat pe 7 octombrie, preluat de Infosecurity Magazine, Security Affairs și The Hacker News. Instrumentul principal este ARTEX, un framework open source de testare a penetrării „agentic”, dezvoltat în China și lansat de curând, care lasă un model lingvistic să conducă testul.

Cazul este interesant mai ales prin felul în care a ieșit la iveală: atacatorul a lăsat directoare deschise pe propriile servere, cu istoricul sesiunilor, fișiere de configurare și fișierele de memorie ale asistentului IA. Cercetătorii i-au putut urmări metoda de lucru, prompt după prompt.

Ce s-a întâmplat

• Ținte: organizații financiare sud-coreene. Potrivit surselor, la o bancă atacatorul a pătruns într-un serviciu de consultare a stadiului cererilor de credit folosit de intermediarii financiari; la alta, a compromis un sistem mobil de sprijin pentru munca angajaților. Numărul total al organizațiilor afectate nu este confirmat.
• Exfiltrare și vânzare: datele au fost sustrase și, potrivit CrowdStrike, atacatorul a întrebat Claude, modelul Anthropic, unde se vând de obicei datele din breșele coreene și cum să găsească grupuri Telegram coreene care le comercializează.
• Atribuire: CrowdStrike nu leagă activitatea de un grup cunoscut. Apreciază, cu încredere moderată, că operatorul vorbește chineza și are motivații financiare.
• Reacția autorităților: pe 6 octombrie, Financial Services Commission din Coreea de Sud a emis o alertă pentru clienții companiilor afectate, îndemnându-i să fie atenți la tentative de phishing și la escrocherii cu credite.
• Instrumentul: potrivit The Hacker News, citat de Security Affairs, dezvoltatorul ARTEX a închis ulterior codul și a oprit actualizările, declarând că proiectul a fost creat pentru studiu și cercetare și nu are legătură cu atacurile. Copiile aflate deja în circulație rămân disponibile.

Detalii tehnice

Sursele nu menționează CVE-uri și nici vulnerabilitățile exploatate: arată doar că ARTEX a fost folosit pentru a descoperi vulnerabilități și a compromite servicii specifice ale victimelor.

Infrastructura. Atacurile au fost legate între ele prin adrese IP comune și prin șirul „ARTEX” în fișiere HTML de pe un server al atacatorului. Sursele descriu două servere:

• 38.244.50[.]120, care găzduia instanța ARTEX folosită probabil împotriva băncilor și un director deschis cu un fișier .claude/CLAUDE.md accesibil pe portul 18899. Fișierul conținea un prompt în chineză care îi indica modelului cum să efectueze testul de penetrare;
• o adresă din Hong Kong, menționată în acel fișier și considerată infrastructura principală: alte directoare deschise cu istoricul sesiunilor Claude Code, configurații ARTEX și fișiere de memorie.

Modele folosite. Instanța ARTEX folosea DeepSeek v4.1-flash ca model principal, accesat probabil prin revânzătorul xcai[.]pro; pentru alte sesiuni Claude Code, operatorul a folosit și GLM-5.3 de la Zhipu AI și Grok 4.6.

Proxy. În sesiuni apar nouă adrese proxy folosite în timpul activității legate de ARTEX:

• 101.53.80[.]20
• 205.214.59[.]31
• 124.155.252[.]63
• 154.201.79[.]246
• 23.248.249[.]90
• 23.158.220[.]98
• 103.248.148[.]84
• 203.160.133[.]172
• 209.209.85[.]38

Sursele nu publică o mapare MITRE ATT&CK și nici hash-uri de fișiere.

Potrivit CrowdStrike, cazul arată cum instrumentele IA permit unui actor cu motivații financiare să desfășoare mai multe intruziuni într-un timp scurt, iar adversarii vor continua probabil să experimenteze cu ele pentru a crește ritmul și capacitățile operațiunilor.

Impactul pentru companiile europene și italiene

Victimele cunoscute sunt în Coreea de Sud, dar modelul de atac nu are granițe. Un instrument ca ARTEX coboară pragul de intrare: un singur operator poate sonda și ataca mai multe ținte în paralel, iar timpul dintre descoperirea unei slăbiciuni și exploatarea ei se scurtează.

Serviciile atacate sunt grăitoare: un portal pentru intermediari și o aplicație mobilă pentru angajați, adică aplicații periferice, adesea expuse pe internet și mai puțin supravegheate decât sistemele centrale. Pentru băncile, asigurătorii și instituțiile financiare europene supuse regulamentului DORA, precum și pentru entitățile NIS2, o breșă de acest tip atrage obligații de notificare a incidentelor. După breșă, așa cum arată alerta Financial Services Commission, riscul se mută asupra clienților, expuși la phishing și escrocherii construite cu datele furate.

Ce faci acum

1. Caută indicatorii publicați în jurnalele firewall-urilor, proxy-urilor și serverelor web din ultimele luni: 38.244.50[.]120 (inclusiv pe portul 18899) și cele nouă adrese proxy. Adresele IP pot schimba titularul: o potrivire trebuie analizată în context, nu tratată singură ca dovadă.
2. Fă inventarul aplicațiilor expuse, inclusiv al celor secundare: portaluri pentru parteneri și intermediari, aplicații mobile pentru angajați, servicii de consultare. Sunt tipul de ținte menționate în raport.
3. Redu fereastra de vulnerabilitate: scanări regulate ale serviciilor expuse și actualizări rapide, pentru că un atacator automatizat acționează repede.
4. Detectează traficul automatizat: rafale de cereri, enumerarea căilor și a parametrilor, încercări repetate asupra acelorași endpoint-uri. Aplică limite de frecvență și autentificare puternică pe serviciile pentru terți.
5. Urmărește exfiltrarea: interogări neobișnuit de ample pe datele clienților, exporturi masive, trafic de ieșire anormal de la serverele de aplicații.
6. Pregătește comunicarea cu clienții: în caz de breșă, avertizează-i imediat despre riscurile de phishing și escrocherii, așa cum a făcut autoritatea sud-coreeană.

Cum ajută ARXDOME

ARX Expose arată ce vede un atacator din afară, inclusiv serviciile vulnerabile, astfel încât un portal secundar uitat iese la iveală înainte să-l găsească altcineva. ARX Horizon îmbogățește evenimentele cu liste de amenințări, iar ARX Sentry aduce jurnalele serverelor și firewall-urilor în paginile SOC și NOC, unde poți căuta conexiuni către adrese suspecte. ARX Shield ține sub control vulnerabilitățile deschise ale mașinilor monitorizate.

Ultima actualizare: 9 octombrie 2026