CrowdStrike: Dienvidkorejas banku uzbrukumos izmantoti ARTEX un Claude Code

Kiberdrošības uzņēmums CrowdStrike 7. oktobrī publicētajā ziņojumā norādīja, ka pret Dienvidkorejas finanšu organizācijām vērstā kampaņā no 2026. gada septembra beigām līdz oktobra sākumam izmantots Ķīnā izstrādātais atvērtā koda aģentiskais iekļūšanas testēšanas rīks ARTEX kopā ar lielajiem valodas modeļiem, tostarp Anthropic Claude Code.

Analītiķi atrada uzbrucējam piederošus atvērtos direktorijus ar Claude Code sesiju vēsturi, ARTEX konfigurācijas failiem un Claude atmiņas failiem. Tas ļāva rekonstruēt darba metodi: ARTEX instance darbojusies uz IP adreses 38.244.50.120, bet galvenā infrastruktūra bijusi Honkongā. ARTEX galvenokārt izmantojis DeepSeek v4.1-flash, papildus – Zhipu AI GLM-5.3 un xAI Grok 4.6. DeepSeek piekļuvei, visticamāk, izmantots API starpnieks xcai.pro.

Nozares ziņojumos minēts, ka vienā bankā kompromitēts brokeriem paredzēts aizdevumu gaitas vaicājuma pakalpojums, citā – darbinieku mobilā darba atbalsta sistēma. CrowdStrike norādīja, ka ietekmēto organizāciju precīzs skaits vēl nav apstiprināts. Nikkei Asia ziņoja, ka starp mērķiem minētas arī Shinhan Bank un KB Kookmin Bank.

CrowdStrike ar mērenu pārliecību vērtē, ka darbības veicis ķīniešu valodā runājošs, finansiāli motivēts individuāls uzbrucējs, nevis nosaukta grupa. Novērtējums balstās uz ķīniešu valodas uzvednēm un Ķīnā izstrādātā rīka izmantošanu. Claude Code sesijās uzbrucējs arī jautājis, kur tipiski pārdod korejiešu datu noplūdes un kā atrast Telegram datu tirdzniecības grupas.

Viens no sesiju failiem saturējis uzvedni izveidot «drošības pētnieka» CV ar personiskiem datiem, tostarp Telegram lietotājvārdu @YY520CN un norādi uz Dienvidķīnas Tehnoloģiju universitāti. CrowdStrike brīdina, ka šie dati, iespējams, pieder uzbrucējam, bet to nevar galīgi apstiprināt.

Uzņēmums uzsver, ka aģentiskie MI rīki ļauj ātrāk veikt vairākas ielaušanās īsā laikā, un līdzīga eksperimentēšana ar MI uzbrukumos, visticamāk, turpināsies. Organizācijām ieteicams uzraudzīt neparastu piekļuvi finanšu sistēmām un ņemt vērā, ka uzbrucēji atstājuši atvērtas infrastruktūras pēdas.