Datele unor organizații financiare sud-coreene au fost furate într-o campanie care a folosit inteligență artificială

CrowdStrike a identificat infrastructura asociată campaniei. Directoarele lăsate deschise pe serverele atacatorului, adică spații cu fișiere accesibile din exterior, au expus istorice ale sesiunilor Claude Code, fișiere de configurare ARTEX și fișiere de memorie Claude. Acestea au permis reconstruirea instrumentelor și a modului de lucru.

La momentul redactării, numărul organizațiilor afectate rămânea neconfirmat, iar activitatea nu fusese atribuită unui adversar identificat nominal.

Organizațiile vizate se suprapun cu cele menționate în relatările din industrie invocate de CrowdStrike. Potrivit acestor relatări, la o bancă ar fi fost compromis un serviciu de verificare a stadiului creditelor folosit de brokeri financiari. La alta, atacatorul ar fi pătruns într-un sistem mobil de asistență pentru angajați.

Tot relatările din industrie sugerau folosirea unor adrese de internet comune în incidentele de la mai multe organizații. Referințe la ARTEX în fișierele unor pagini web de pe un server presupus controlat de atacator indicau utilizarea instrumentului.

Fișierele expuse au arătat cum erau împărțite operațiunile între două servere

CrowdStrike a asociat adresa de internet 38.244.50[.]120 cu activitatea investigată. Serverul găzduia o instalare ARTEX și un director deschis cu documentul CLAUDE.md. Acesta conținea instrucțiuni în chineză despre desfășurarea testelor de penetrare, adică verificări prin care sunt căutate căi de pătrundere într-un sistem informatic.

Documentul CLAUDE.md era accesibil la adresa http[:]//38.244.50[.]120:18899/.claude/CLAUDE.md.

Documentul menționa și o adresă din Hong Kong controlată de atacator. Verificarea acestei infrastructuri a dus la alte directoare deschise, unde se aflau istoricele sesiunilor și fișierele analizate.

Sesiunile descriau o arhitectură cu două servere: infrastructura din Hong Kong avea rolul principal, iar celălalt server găzduia ARTEX, probabil folosit în atacurile asupra organizațiilor sud-coreene.

ARTEX a fost folosit împreună cu mai multe modele lingvistice

Dezvoltat în China și lansat recent, ARTEX este un instrument de testare a penetrării cu cod disponibil public. Folosește inteligență artificială de tip agent, care poate executa sarcini, alături de capacități tradiționale de atac informatic.

Fișierele analizate indicau următoarele modele:

• DeepSeek v4.1-flash era modelul lingvistic principal al instalării ARTEX.
• GLM-5.3, de la Zhipu AI, a fost folosit suplimentar în sesiuni Claude Code.
• Grok 4.6 a fost utilizat în alte sesiuni Claude Code.

CrowdStrike consideră probabil că accesul la DeepSeek se făcea printr-un serviciu care ar fi intermediat sau revândut accesul programelor la modele lingvistice.

Intermediarul probabil pentru accesul la DeepSeek era xcai[.]pro.

Analiza sesiunilor a identificat și folosirea unor servere proxy, care intermediază conexiunile. Adresele acestora sunt publicate de CrowdStrike în lista indicatorilor de compromitere, repere tehnice asociate activității investigate.

Indicatorii publicați pentru serverele proxy sunt 101.53.80[.]20, 205.214.59[.]31, 124.155.252[.]63, 154.201.79[.]246, 23.248.249[.]90, 23.158.220[.]98, 103.248.148[.]84, 203.160.133[.]172 și 209.209.85[.]38.

Solicitările către Claude indicau interes pentru vânzarea datelor

Atacatorul a întrebat Claude unde vând de obicei infractorii informații despre breșe de date din Coreea și a cerut ajutor pentru găsirea unor grupuri Telegram coreene dedicate vânzării datelor.

CrowdStrike apreciază, cu un nivel moderat de încredere, că atacatorul este probabil vorbitor de chineză și motivat financiar. Evaluarea se bazează pe instrumentul dezvoltat în China și pe instrucțiunile în chineză găsite în fișiere.

Într-o altă sesiune, utilizatorul a cerut redactarea unui CV de cercetător în securitate care să includă rezultatele activității asociate ARTEX. A introdus numele YY și contul Telegram @YY520CN, împreună cu date personale și de contact.

Promptul indica vârsta de 26 de ani, după ce inițial fusese introdusă data nașterii 22 septembrie 2007. Menționa South China University of Technology și localizarea Maoming, Guangdong, China. CrowdStrike consideră că aceste date aparțin probabil atacatorului, dar informațiile disponibile nu permit asocierea lor definitivă cu acesta.

Același nume de utilizator Telegram apărea în sesiuni Claude Code despre căutarea vulnerabilităților unei piețe de cadouri NFT de pe Telegram, adică obiecte digitale reprezentate prin tokenuri nefungibile. Un atacator necunoscut a folosit acest nume și pentru a viza o posibilă platformă de plăți din China.

CrowdStrike încadrează activitatea în trei tehnici de atac

Clasificarea tehnică folosită în raport separă infrastructura, instrumentele și conexiunile:

• T1583.003 se referă la obținerea unui server privat virtual pentru operațiuni de comandă și control.
• T1588.007 se referă la obținerea capacităților de inteligență artificială, în acest caz prin ARTEX.
• T1090 se referă la folosirea serverelor proxy.

În evaluarea CrowdStrike, campania arată cum instrumentele de inteligență artificială pot permite unui atacator motivat financiar să desfășoare mai multe intruziuni într-un interval scurt. Compania apreciază că adversarii vor continua probabil să experimenteze cu aceste instrumente pentru a-și crește ritmul și capacitățile operaționale.