На початку місяця кібератаки вразили фінансовий сектор Південної Кореї: зловмисник використовував набір для пентесту ARTEX AI та агентів Claude, націлившись на Shinhan Bank, KB Kookmin Bank і Hana Bank.
Як діяли зловмисники
За даними дослідників, унаслідок атак було розкрито персональні дані клієнтів і інформацію платіжних карток, а в окремих випадках спричинено збої в роботі систем. Уряд Південної Кореї провів екстрену нараду та закликав негайно посилити захист критичних ІТ-систем.
CrowdStrike підтвердила, що нападник застосував ARTEX AI — донедавна відкритий набір інструментів із «агентною» логікою для перевірки безпеки. Дослідники ідентифікували інфраструктуру актора й виявили відкриті директорії з історіями сесій Claude Code, конфігураціями ARTEX і файлами пам’яті Claude.
Які моделі та сервіси задіяно
- Основною мовною моделлю в інстансі ARTEX була DeepSeek v4.1-flash.
- Додатково використовувалися GLM-5.3 (Zhipu AI) і Grok 4.6 для окремих сесій Claude Code.
- Доступ до DeepSeek, імовірно, здійснювався через проксі/реселера LLM API xcai[.]pro.
Записи з відкритих директорій дали уявлення про цілі атак, що збіглися з раніше відомими інцидентами у фінансовому секторі, тож дослідники пов’язують діяльність із високою впевненістю.
Сліди особи та мотиви
Ті самі інструменти зловмисник використав для створення резюме, випадково розкривши ідентифікаційні дані, контакти та акаунт у Telegram. На підставі резюме CrowdStrike припускає, що це може бути 26-річний громадянин Китаю, який навчався у South China University of Technology та проживає в Маоміні, Гуандун. Водночас у перших даних фігурувала дата народження 2007 року, тож ідентифікація ненадійна.
Записи також свідчать, що чіткого плану монетизації викрадених даних не було: зловмисник просив Claude запропонувати Telegram-групи для продажу даних, орієнтовані на Корею.
Наслідки для ARTEX AI
Після підтвердження використання ARTEX у реальних атаках розробник закрив проєктний код і зупинив оновлення. Попри це, наявна версія вже стала основою похідних збірок англійською та корейською, тож інструментарій і далі доступний у поточному вигляді.