حمله سایبری به بانک‌های کره جنوبی با ایجنت‌های هوش مصنوعی Claude و ابزار ARTEX

اوایل همین ماه، یک هکر چینی‌زبان با اجرای حملات سایبری سنگین و به‌کارگیری ابزار تست نفوذ ARTEX AI در کنار ایجنت‌های Claude، بخش مالی و بانکی کره جنوبی را حسابی به لرزه درآورد.

این مهاجم چندین بانک نام‌آشنای کره جنوبی از جمله «شین‌هان بانک» (Shinhan Bank)، «کی‌بی کوک‌مین بانک» (KB Kookmin Bank) و «هانا بانک» (Hana Bank) را هدف گرفت؛ نفوذی که به افشای اطلاعات هویتی و کارت‌های اعتباری مشتریان منجر شد و حتی در مواردی قطعی سیستم‌های بانکی را رقم زد.

شدت ماجرا به حدی بود که دولت کره جنوبی بلافاصله یک جلسه اضطراری تشکیل داد و خواستار اجرای فوری تدابیر امنیتی ویژه برای سیستم‌های حیاتی فناوری اطلاعات شد.

شرکت امنیتی کراداسترایک (CrowdStrike) تأیید کرد که در این نفوذها از ابزار ARTEX AI استفاده شده است؛ بسته‌ای برای تست نفوذ مبتنی بر ایجنت‌های هوشمند که در چین توسعه یافته بود و تا همین چند وقت پیش، پروژه‌ای کاملاً متن‌باز به شمار می‌رفت.

پژوهشگران امنیتی حین ردیابی زیرساخت‌های این هکر، به دایرکتوری‌های محافظت‌نشده‌ای رسیدند که تاریخچه سشن‌های کاری ابزار Claude Code، فایل‌های تنظیمات ARTEX و حتی فایل‌های حافظه کلود در آن‌ها جا مانده بود.

کراداسترایک در گزارش خود توضیح داد: «نسخه فعال ARTEX از مدل DeepSeek v4.1-flash به عنوان مدل زبانی اصلی بهره می‌برد و هکر برای مدیریت سشن‌های اضافه در Claude Code، این ترکیب را با مدل‌های GLM-5.3 (از شرکت Zhipu AI) و Grok 4.6 تکمیل کرده بود.»

پژوهشگران در گزارش خود اشاره کردند که این عامل تهدید به احتمال زیاد از طریق یک ارائه‌دهنده یا پروکسی رابط برنامه‌نویسی به نشانی xcai[.]pro به دیپ‌سیک دسترسی پیدا کرده بود.

این اطلاعات به دست آمده دید بسیار خوبی از فعالیت‌های هکر به تحلیلگران داد؛ به‌ویژه آنکه اهداف ثبت‌شده با گزارش‌های قبلی درباره نفوذ به بخش مالی کاملاً هم‌پوشانی داشت و همین مسئله ارتباط میان این پرونده‌ها را با ضریب اطمینان بالایی اثبات کرد.

اما ماجرای طنز و باورنکردنی اینجا بود که هکر برای نوشتن رزومه شخصی خود هم از همین ابزار‌های هوش مصنوعی استفاده کرده بود! همین بی‌احتیاطی باعث شد تا مشخصات هویتی، راه‌های ارتباطی و حتی جزئیات اکانت تلگرامش در معرض دید قرار بگیرد.

بر اساس اطلاعات درج‌شده در این رزومه، کراداسترایک احتمال می‌دهد که مهاجم یک جوان ۲۶ ساله چینی و فارغ‌التحصیل دانشگاه فناوری جنوب چین باشد که در شهر مائومینگ استان گوانگ‌دونگ زندگی می‌کند.

البته محققان متوجه شدند که هکر در ابتدا تاریخ تولد خود را سال ۲۰۰۷ ثبت کرده بود. بنابراین با وجود اینکه مشخصات کشف‌شده ممکن است متعلق به عامل پشت پرده پروژه ARTEX باشد، اما هنوز برای تأیید قطعی هویت او کافی و قابل اتکا نیست.

بررسی این ردپاها همچنین نشان داد که هکر اصلاً نقشه مشخصی برای نقد کردن و فروش داده‌های سرقت‌شده از بانک‌های کره جنوبی نداشته؛ تا جایی که از کلود خواسته بود گروه‌ها و کانال‌های تلگرامی مناسب برای فروش داده‌های کاربران کره‌ای را به او معرفی کند!

پس از آنکه مشخص شد از ARTEX در حملات دنیای واقعی استفاده شده است، توسعه‌دهنده تصمیم گرفت این پروژه را غیرعلنی و خصوصی کند و روند انتشار به‌روزرسانی‌های بعدی را هم متوقف ساخت.

با این همه، کد فعلی این ابزار پیش از بسته شدن دست‌به‌دست شده و نسخه‌های جانبی متعددی از آن به زبان‌های انگلیسی و کره‌ای پدید آمده است؛ در نتیجه خطر این ابزار هنوز به طور کامل برطرف نشده و همچنان در دسترس است.