CrowdStrike bringt KI-Pentest-Tool ARTEX mit Angriffen auf südkoreanische Banken in Verbindung
CrowdStrike Intelligence hat Infrastruktur identifiziert, die mit einer Kampagne gegen südkoreanische Finanzorganisationen in Verbindung steht. Ein unbekannter Angreifer nutzte dabei ARTEX, ein quelloffenes agentisches Penetrationstest-Tool, zusammen mit großen Sprachmodellen (LLMs). Laut CrowdStrike lief die Kampagne von Ende September bis Anfang Oktober 2026 und führte zum Abfluss von Daten.
- CrowdStrike hat Infrastruktur identifiziert, die mit einer Kampagne gegen südkoreanische Finanzorganisationen in Verbindung steht und zum Datenabfluss führte.
- Die Kampagne war von Ende September bis Anfang Oktober 2026 aktiv.
- Der Akteur nutzte ARTEX, ein kürzlich veröffentlichtes, in China entwickeltes quelloffenes agentisches Pentesting-Tool, zusammen mit LLMs.
- CrowdStrike geht mit mittlerer Sicherheit davon aus, dass der Akteur vermutlich Chinesisch spricht und finanziell motiviert ist, ordnet ihn aber keinem namentlich bekannten Gegner zu.
- Offene Verzeichnisse legten Verlaufsprotokolle von Claude-Code-Sitzungen, ARTEX-Konfigurationsdateien und Claude-Memory-Dateien offen.
Was CrowdStrike herausgefunden hat
Nach Angaben von CrowdStrike förderte die Analyse von Open Directories unter Kontrolle der Angreifer Verlaufsprotokolle von Claude-Code-Sitzungen, ARTEX-Konfigurationsdateien und Claude-Memory-Dateien zutage. Diese Materialien gaben dem Unternehmen zufolge direkten Einblick in die operativen Methoden und die Werkzeuge des Akteurs.
CrowdStrike beschreibt ARTEX als ein kürzlich veröffentlichtes, in China entwickeltes quelloffenes agentisches Pentesting-Tool. Der Akteur setzte es zusammen mit LLMs ein. Dass agentische KI-Werkzeuge neben klassischen Offensivfähigkeiten genutzt werden, spiegelt laut CrowdStrike die fortlaufende Weiterentwicklung der Vorgehensweisen von Angreifern wider, die das Unternehmen beobachtet.
Die Aktivität wurde keinem namentlich bekannten Gegner zugeordnet. CrowdStrike geht mit mittlerer Sicherheit davon aus, dass der Akteur vermutlich Chinesisch spricht und finanziell motiviert ist. Grundlage sind die Nutzung des in China entwickelten ARTEX und beobachtete chinesischsprachige Prompts.
Gemeldete Einbrüche bei südkoreanischen Instituten
CrowdStrike verweist auf Branchenberichte, wonach seit Ende September 2026 mehrere südkoreanische Finanzorganisationen von Datenpannen betroffen waren. Bei einer betroffenen Bank soll der Angreifer in einen Dienst zur Abfrage des Kreditbearbeitungsstands eingedrungen sein, den Finanzmakler nutzen. Bei einer anderen wurde ein mobiles Arbeitsunterstützungssystem für Mitarbeiter kompromittiert.
Wie viele Organisationen betroffen sind, ist zum Zeitpunkt der Veröffentlichung des Beitrags unbestätigt. Bei der Aktivität in mehreren Organisationen sollen sich IP-Adressen überschnitten haben. Berichten zufolge deutet zudem einiges darauf hin, dass der Angreifer ARTEX nutzte: In HTML-Dateien auf einem mutmaßlich vom Angreifer kontrollierten Server fanden sich Verweise auf die Zeichenfolge ARTEX.
Analyse der Infrastruktur
CrowdStrike bringt die IP-Adresse 38.244.50[.]120 mit der Aktivität in Verbindung. Sie hostete eine ARTEX-Instanz und ein Open Directory, das ein Claude-Code-Markdown-Dokument unter http[:]//38.244.50[.]120:18899/.claude/CLAUDE.md enthielt.
Dieses Dokument enthielt einen chinesischsprachigen Pentesting-Prompt, der festlegt, wie das LLM Pentesting-Aktivitäten durchführen soll. Darin tauchte auch eine vom Angreifer kontrollierte, in Hongkong angesiedelte IP-Adresse auf. Die Analyse dieser Adresse brachte weitere Open Directories mit Verlaufsprotokollen von Claude-Code-Sitzungen, ARTEX-Konfigurationsdateien und Claude-Memory-Dateien ans Licht. Diese Dateien deuten laut CrowdStrike darauf hin, dass der Akteur von Ende September bis Anfang Oktober 2026 südkoreanische Finanzorganisationen ins Visier nahm.
Was das bedeutet
Die Erkenntnisse zeigen, dass frei verfügbare agentische Pentesting-Tools in Kombination mit LLMs bei realen Angriffen auf Finanzziele auftauchen. Sie zeigen auch, dass falsch konfigurierte Angreiferinfrastruktur, etwa offen zugängliche Verzeichnisse, Verteidigern Einblick in Prompts, Sitzungsverläufe und Konfigurationsdateien geben kann. Der für diesen Bericht verfügbare Quelltext ist abgeschnitten, weitere technische Details und etwaige Handlungsempfehlungen von CrowdStrike werden daher hier nicht behandelt.
CrowdStrike: Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance
