شرکت CrowdStrike در تحلیل‌های اخیر خود، جزئیاتی از یک کمپین تهاجمی علیه سازمان‌های مالی در کره جنوبی را منتشر کرد. در این حملات که از اواخر سپتامبر تا اوایل اکتبر ۲۰۲۶ ادامه داشت، عامل تهدید از ابزار تست نفوذ (Pentest) مبتنی بر هوش مصنوعی به نام ARTEX و مدل‌های زبانی بزرگ (LLM) برای نفوذ به زیرساخت‌ها و سرقت داده‌ها استفاده کرده است.
اشتباهات عملیاتی عامل تهدید
یکی از نکات قابل توجه در این گزارش، اشتباهات فاحش عامل تهدید در مدیریت زیرساخت‌های خود است. این مهاجم دایرکتوری‌های باز (Open Directories) را روی سرورهای تحت کنترل خود رها کرده بود که باعث شد تحلیلگران CrowdStrike به تاریخچه نشست‌های (Session Histories) ابزار Claude Code، فایل‌های پیکربندی ARTEX و فایل‌های حافظه Claude دسترسی پیدا کنند. این دسترسی نادر به پژوهشگران اجازه داد تا متدولوژی عملیاتی و نحوه تعامل مهاجم با مدل‌های هوش مصنوعی را مرحله به مرحله (Prompt by Prompt) مشاهده کنند.
ابزار ARTEX و زیرساخت‌های مورد استفاده
ابزار ARTEX یک ابزار متن‌باز (Open-source) است که اخیراً در چین منتشر شده و به Agentهای هوش مصنوعی اجازه می‌دهد تا به‌صورت خودکار عملیات تست نفوذ را اجرا کنند. مهاجم در این کمپین، ARTEX را با چندین مدل زبانی بزرگ ترکیب کرده بود:
- DeepSeek v4.1-flash: مدل اصلی مورد استفاده در عملیات.
- GLM-5.3 (Zhipu AI) و Grok 4.6: برای نشست‌های تکمیلی و تحلیل‌های جانبی.
تحلیل‌ها نشان می‌دهد که مهاجم احتمالاً از طریق یک واسطه به مدل DeepSeek دسترسی داشته و از ۹ آدرس پروکسی برای پنهان کردن فعالیت‌های خود استفاده کرده است.
اهداف و متدهای نفوذ
در این حملات، چندین سازمان مالی کره جنوبی هدف قرار گرفتند. در یکی از موارد، مهاجم به سرویس استعلام پیشرفت وام که توسط کارگزاران مالی استفاده می‌شد، نفوذ کرد و در موردی دیگر، سیستم پشتیبانی موبایل کارکنان یک بانک مورد هدف قرار گرفت. پس از نفوذ و استخراج داده‌ها (Exfiltration)، مهاجم از Claude برای یافتن گروه‌های فروش داده‌های سرقتی در تلگرام و حتی نوشتن یک رزومه برای یک «پژوهشگر امنیتی» (با هدف توجیه نتایج ARTEX) کمک گرفته بود.
تکامل متدهای تهاجمی (Tradecraft)
CrowdStrike معتقد است که استفاده از هوش مصنوعی عامل‌محور (Agentic AI) در کنار قابلیت‌های تهاجمی سنتی، نشان‌دهنده تکامل متدهای عملیاتی مهاجمان است. این ابزارها به عاملان تهدید اجازه می‌دهند تا در بازه زمانی کوتاهی، تعداد بیشتری نفوذ موفق را اجرا کنند و سرعت عملیات خود را به‌شدت افزایش دهند. اگرچه توسعه‌دهنده ARTEX مدعی است که این ابزار صرفاً برای اهداف آموزشی و پژوهشی ساخته شده و دسترسی به سورس کد آن را بسته است، اما نسخه‌های منتشر شده همچنان در دسترس مهاجمان قرار دارند.
