یک هکر چینی‌زبان در اوایل ماه جاری با استفاده از مجموعه تست نفوذ ARTEX AI و عامل‌های Claude، حملاتی سایبری را علیه بخش مالی کره جنوبی به راه انداخت که منجر به اختلالات گسترده‌ای شد.
جزئیات هدف و اثرات حمله
این عامل تهدید (Threat Actor) چندین بانک کره جنوبی از جمله Shinhan Bank، KB Kookmin Bank و Hana Bank را هدف قرار داد. این حملات منجر به افشای داده‌های شخصی مشتریان و اطلاعات کارت‌های اعتباری شد و در برخی موارد باعث توقف فعالیت سیستم‌ها (System Outages) گردید. در واکنش به این اتفاق، دولت کره جنوبی جلسه اضطراری تشکیل داد و خواستار اتخاذ اقدامات امنیتی فوری برای سیستم‌های IT حیاتی شد.
تحلیل فنی ابزارهای مورد استفاده
شرکت امنیتی CrowdStrike تایید کرد که در این حملات از ARTEX AI استفاده شده است؛ ابزاری که تا همین اواخر یک مجموعه تست نفوذ مبتنی بر عامل (Agentic Penetration Testing Suite) و متن‌باز (Open-source) بود که در چین توسعه یافته بود.
محققان با شناسایی زیرساخت‌های مهاجم، دایرکتوری‌های باز (Open Directories) حاوی تاریخچه نشست‌های Claude Code، فایل‌های پیکربندی ARTEX و فایل‌های حافظه Claude را کشف کردند. طبق گزارش CrowdStrike:
- از DeepSeek v4.1-flash به عنوان مدل زبانی (LLM) اصلی در پس‌زمینه ARTEX استفاده شده بود.
- عامل تهدید برای نشست‌های Claude Code، از مدل‌های GLM-5.3 (Zhipu AI) و Grok 4.6 به عنوان مکمل استفاده کرد.
- دسترسی به DeepSeek احتمالاً از طریق یک پروکسی یا بازفروش API به نام xcai[.]pro صورت گرفته است.
شناسایی مهاجم و پیامدهای ابزاری
به دلیل استفاده از همان ابزارهای هوش مصنوعی برای ایجاد رزومه، مهاجم ناخواسته اطلاعات شناسایی، تماس و جزئیات حساب تلگرام خود را افشا کرد. بر اساس این مدارک، احتمال می‌رود مهاجم یک فرد ۲۶ ساله چینی باشد که در دانشگاه فناوری جنوب چین تحصیل کرده و در شهر Maoming استان Guangdong زندگی می‌کند؛ هرچند محققان اشاره کردند که برخی اطلاعات (مانند تاریخ تولد ۲۰۰۷) متناقض است و نمی‌توان با قطعیت کامل هویت او را تایید کرد.
سایر رکوردها نشان می‌دهد که مهاجم برنامه مشخصی برای کسب درآمد از داده‌های سرقتی نداشته و از Claude خواسته بود تا گروه‌های فروش داده در تلگرام را که بر کره جنوبی متمرکز هستند، پیشنهاد دهد.
در نهایت، توسعه‌دهنده پروژه ARTEX پس از تایید استفاده از این ابزار در حملات واقعی، تصمیم گرفت پروژه را به صورت بسته-منبع (Closed-source) درآورد و به‌روزرسانی‌های آن را متوقف کند. با این حال، نسخه‌های مشتق شده به زبان‌های انگلیسی و کره‌ای از کد فعلی این پروژه همچنان در دسترس هستند.
