ARTEX a AI agenti pomáhali při útocích na jihokorejské finance

Výzkumníci nalezli záznamy AI relací a konfigurace na infrastruktuře útočníka. Případ ukazuje použití agentních nástrojů při skutečném napadání organizací i vyšetřovací hodnotu stop, které po jejich provozu zůstávají.

BleepingComputer 10. října 2026 popsal použití nástroje ARTEX a AI agentů při útocích na jihokorejský finanční sektor. Technické podklady vycházejí z rozboru CrowdStrike ze 7. října, který zde slouží jako starší kontext. Pozorovaná kampaň probíhala od konce září do začátku října; přesný počet zasažených organizací původní rozbor nepotvrdil.

CrowdStrike objevil veřejně přístupné adresáře na infrastruktuře spojované s útočníkem. Obsahovaly historii relací Claude Code, konfigurace ARTEX a soubory s pamětí agentů. Tyto podklady umožnily rekonstruovat část postupu a propojit cíle s již hlášenými incidenty. Útočník využíval dvě hlavní serverové části a více zprostředkujících adres.

ARTEX je nástroj pro agentní penetrační testování. Nalezená konfigurace používala jako hlavní model DeepSeek v4.1-flash, doplňovaný dalšími modely. Záznamy obsahovaly také dotazy na prodej ukradených korejských dat. CrowdStrike hodnotil čínsky mluvícího a finančně motivovaného aktéra se střední mírou jistoty; jeho totožnost nepotvrdil. Doklady o použití AI proto nejsou důkazem připsání útoků konkrétnímu člověku nebo státní skupině.

Podle zprávy BleepingComputer vývojář po potvrzení zneužívání převedl ARTEX do uzavřeného režimu a přestal ho aktualizovat. To však neodstraňuje již dostupné kopie a odvozené verze. Rozbor současně nedokládá, že celý řetězec napadení proběhl bez lidského rozhodování.

Pro obránce je podstatné odlišit technologii použitou útočníkem od slabiny, kterou napadl. Samotná přítomnost AI neurčuje prvotní vstup do sítě ani nečiní neúčinnými omezení přístupů, aktualizace a sledování neobvyklých operací. Praktickým krokem je prověřit i pomocné finanční a zaměstnanecké služby, které mohou pracovat s citlivými údaji, ale nestojí v centru bezpečnostního dohledu.

Dalším poučením je práce s forenzními stopami. Historie relací, konfigurace a paměť agentů mohou zachytit záměr, cíle i provedené kroky. V interním vyšetřování má smysl takové podklady zachovat spolu s časovými údaji a síťovými záznamy a omezit k nim přístup. Mohou totiž obsahovat jak důkazy, tak samotná přístupová tajemství nebo údaje, které už organizaci unikly.