По данным исследователей, пострадали Shinhan Bank, Yegaram Savings Bank, KB Kookmin Bank и Hana Bank. У организаций утекли персональная информация клиентов и данные банковских карт, а некоторые банки столкнулись со сбоями.

Главное

  • Атаки продолжались с конца сентября по начало октября 2026 года.
  • Злоумышленник использовал ARTEX и агентов Claude Code.
  • После публикации отчета разработчик ARTEX закрыл исходный код и прекратил поддержку проекта.

Как проходили атаки

ARTEX разработали в Китае как инструмент с открытым исходным кодом для автоматизированного пентестинга. Пентестинг проверяет защиту компьютерных систем с помощью имитации атак.

Инструмент работает на базе нескольких ИИ-агентов. Ими управляют большие языковые модели, которые создают и обрабатывают тексты.

Исследователи нашли сервер, где работал ARTEX. На нем оказался файл с инструкциями для ИИ на китайском языке и адрес другого сервера в Гонконге.

На втором сервере обнаружили открытые директории. В них хранились история сессий Claude Code, настройки ARTEX и другие данные, которые позволили восстановить действия злоумышленника.

Какие модели использовали

Основной моделью для ARTEX, по данным исследователей, была DeepSeek v4.1-flash. Также использовались GLM-5.3 и Grok 4.6.

Доступ к DeepSeek, предположительно, обеспечивал посредник xcai[.]pro через программный интерфейс. Он позволяет программам обращаться к возможностям другого сервиса.

Те же ИИ-инструменты злоумышленник применял для составления собственного резюме. В нем он случайно раскрыл личные сведения.

Судя по найденной информации, злоумышленником может быть 26-летний житель Китая. Он учился в Южно-Китайском технологическом университете и сейчас живет в городе Маомин.

Что произошло после атак

Исследователи выяснили, что у хакера не было готового плана продажи похищенных данных. Он спрашивал Claude, где обычно продают данные южнокорейских пользователей, и просил найти подходящие группы в Telegram.

После публикации отчета CrowdStrike и информации об атаках разработчик ARTEX под ником Autumn-27 объявил о закрытии исходного кода. Автор заявил, что создавал инструмент для обучения и легального пентеста, а использование в атаках противоречит исходной идее проекта.

Исходный код ARTEX уже распространился в сети. На его основе появились версии на английском и корейском языках.

Ранее атаки вызвали обеспокоенность южнокорейских властей. Правительство страны провело экстренное совещание, а финансовые регуляторы предупредили граждан о возможном фишинге и мошенничестве.

Подробнее: Хакер.