The Pulse
CrowdStrike trova ARTEX nelle intrusioni contro banche sudcoreane
Secondo CrowdStrike, un soggetto non identificato ha usato l’agente di test di penetrazione ARTEX e modelli linguistici di grandi dimensioni in intrusioni ai danni di organizzazioni finanziarie sudcoreane. L’azienda ritiene, con un grado di
AI.info Team · Scritto con l’IA ·
CrowdStrike ha prove dell’uso di strumenti di IA da parte di un aggressore che ha preso di mira organizzazioni finanziarie sudcoreane, ma non arriva a identificare il responsabile. In un rapporto pubblicato il 7 ottobre, l’azienda di cybersicurezza ha dichiarato di aver trovato file di configurazione di ARTEX e cronologie di sessioni di programmazione con IA collegati a una campagna attiva da fine settembre a inizio ottobre. La valutazione secondo cui il soggetto era probabilmente di lingua cinese e mosso da interessi economici ha un grado di confidenza moderato: non si tratta di un’attribuzione confermata.
I file rivelano una campagna condotta con l’aiuto dell’IA
Secondo CrowdStrike, i ricercatori hanno esaminato directory aperte su un’infrastruttura associata all’aggressore. Hanno trovato cronologie di sessioni di Claude Code, file di configurazione di ARTEX e file di memoria di Claude che, secondo l’azienda, hanno offerto una visione diretta dei metodi e degli strumenti dell’operatore. La campagna ha preso di mira organizzazioni finanziarie sudcoreane e ha portato alla sottrazione di dati, anche se CrowdStrike afferma che il numero delle organizzazioni colpite resta da confermare.
«Sebbene questa attività non sia stata attribuita a un avversario identificato, il responsabile è probabilmente di lingua cinese e mosso da interessi economici», scrive Ashley Campion di CrowdStrike. L’azienda afferma di basare questa valutazione sull’uso di ARTEX, uno strumento open source di test di penetrazione basato su agenti e sviluppato in Cina, e sui prompt in lingua cinese osservati nel corso dell’attività.
Il rapporto descrive due sistemi compromessi presso banche distinte: un servizio di consultazione dello stato di avanzamento dei prestiti usato dagli intermediari finanziari e un sistema mobile di supporto al lavoro dei dipendenti. CrowdStrike non indica i nomi delle banche nel suo resoconto. Afferma che le organizzazioni prese di mira si sovrappongono a quelle individuate in rapporti di settore, ma avverte che la portata complessiva non è stata accertata.
ARTEX collegato a diversi modelli linguistici
L’analisi dei file indica una configurazione a due server. Un indirizzo situato a Hong Kong fungeva da infrastruttura principale controllata dall’aggressore, mentre un altro server ospitava l’istanza di ARTEX che CrowdStrike ritiene sia stata usata nelle attività in Corea del Sud. Secondo l’azienda, quell’istanza usava DeepSeek v4.1-flash come modello linguistico principale; l’operatore ha usato anche GLM-5.3 e Grok 4.6 in ulteriori sessioni di Claude Code.
Il ruolo dello strumento è importante per la questione dell’attribuzione. CrowdStrike descrive ARTEX come uno strumento di test di penetrazione basato su agenti, non come un modello linguistico né come una prova dell’identità di chi lo ha usato. Il rapporto dell’azienda collega l’uso osservato e i prompt in lingua cinese alla sua valutazione, ma afferma che l’attività non è stata attribuita a un avversario identificato. Le prove descritte stabiliscono l’uso dello strumento con maggiore chiarezza rispetto all’identità dell’operatore.
I dati personali non accertano l’identità
In una sessione di Claude Code, l’utente ha chiesto un curriculum da ricercatore nel campo della sicurezza contenente dati personali e dichiarazioni su attività legate ad ARTEX. Il prompt indicava un’età di 26 anni, ma inizialmente riportava anche come data di nascita il 22 settembre 2007: una discrepanza che rende quei dati una base particolarmente inaffidabile per considerare il curriculum un documento d’identificazione verificato. CrowdStrike afferma che le informazioni potrebbero appartenere alla persona dietro l’attività, ma che non è possibile collegarle con certezza al responsabile.
Le sessioni mostrano anche che l’utente ha chiesto a Claude dove vengano comunemente venduti i dati coreani rubati e aiuto per trovare gruppi Telegram in cui tali informazioni vengono scambiate. Queste domande sostengono la valutazione di CrowdStrike secondo cui l’attività potrebbe aver avuto una motivazione economica; non dimostrano che il responsabile abbia venduto dati né identificano un acquirente.
Il rapporto di CrowdStrike presenta quindi due diversi livelli di certezza: i file e le cronologie delle sessioni collegano ARTEX e diversi modelli linguistici alla campagna, mentre l’identità della persona dietro l’attività e la quantità totale di dati sottratti restano da accertare. Nel suo resoconto pubblicato, l’azienda non identifica alcun avversario confermato e non fornisce un conteggio definitivo delle organizzazioni colpite.