Оператор использовал ARTEX и ИИ для автоматизации кибератак
В октябре 2026 года ThreatLabz расследовала глобальную кампанию атак с использованием ИИ и фреймворка для тестирования на проникновение ARTEX. Восстановленные истории запросов свидетельствовали о целенаправленных атаках на организации во многих странах и отраслях, а не только на финансовые учреждения Южной Кореи, с которыми кампанию связали первоначально. Злоумышленники собирали структурированные личные и финансовые данные. Запросы о подготовке наборов данных и подпольных маркетплейсах указывают на вероятную финансовую мотивацию.
Инфраструктура и организация работы
Оператор использовал ARTEX вместе с Claude Code, Codex, Grok, DeepSeek, GLM и собственными скриптами автоматизации. Фреймворк работал по архитектуре с планировщиком и исполнителем: расследования делились на специализированные задачи, проводились разведка и эксплуатация уязвимостей, а результаты сохранялись для последующего анализа. В образ Docker добавили Nmap, sqlmap, Nuclei, httpx, JADX, Apktool и Frida, а также библиотеки Python для обработки веб-контента и создания электронных таблиц.
ARTEX хранил данные проектов в PostgreSQL и направлял запросы к моделям через шлюз, совместимый с OpenAI. В конфигурациях упоминались DeepSeek, GLM и Grok, но фактические базовые модели не всегда удавалось независимо проверить. В запросах моделям задавали разные роли: например, DeepSeek проводил расследования, а GLM проверял его выводы на предмет пропущенных поверхностей атаки.
Рабочий процесс был рассчитан на закрепление и совместную работу между сеансами ИИ. Обработчики при каждом новом запросе суммировали состояние проекта и связанные с ним файлы. Скрипты синхронизации и сохранённые инструкции помогали передавать задачи между учётными записями, серверами и агентами ИИ. Оператор также настроил автономную работу и велел системам ИИ считать цели предварительно авторизованными.
Маршрутизация и цели кампании
Сервер для перехода к целевым системам с адресом 38.244.50.120 служил маршрутом по умолчанию. Дополнительные прокси-серверы и туннели обеспечивали отдельные исходящие адреса. Данные расследований, включая отчёты, исходный код, доказательства, выгрузки и резервные копии, архивировались в Backblaze B2.
Истории запросов охватывали криптовалютные и платёжные сервисы, платформы знакомств и SMS-уведомлений, розничную торговлю, азартные игры, образование, логистику, урегулирование юридических споров, подарочные карты и финансовые организации. Среди целей сбора данных были номера телефонов, демографические записи, история транзакций и расшифрованные поля баз данных.
Использование китайского языка, китайского стандартного времени, упоминания китайских сервисов и номер телефона из материкового Китая, по оценке исследователей, свидетельствуют о том, что оператор был носителем китайского языка.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
