đŸ—“ïž Contexte

Source : BleepingComputer — PubliĂ© le 10 octobre 2026. CrowdStrike a confirmĂ© et documentĂ© une sĂ©rie d’attaques ciblant le secteur financier sud-corĂ©en, attribuĂ©es Ă  un acteur malveillant sinophone non nommĂ©.

🎯 Cibles et impact

Plusieurs grandes banques sud-coréennes ont été visées :

  • Shinhan Bank
  • KB Kookmin Bank
  • Hana Bank

Les consĂ©quences incluent l’exposition de donnĂ©es personnelles et d’informations de cartes de crĂ©dit de clients, ainsi que des interruptions de systĂšmes dans certains cas. Le gouvernement sud-corĂ©en a convoquĂ© une rĂ©union d’urgence et appelĂ© Ă  des mesures de sĂ©curitĂ© immĂ©diates.

đŸ› ïž MĂ©thodes et outils

L’attaquant a utilisĂ© ARTEX AI, une suite de pentest agentique open-source dĂ©veloppĂ©e en Chine, en combinaison avec des agents Claude Code. L’infrastructure exposĂ©e contenait :

  • Des historiques de sessions Claude Code
  • Des fichiers de configuration ARTEX
  • Des fichiers mĂ©moire Claude

Le backend LLM principal utilisĂ© Ă©tait DeepSeek v4.1-flash, complĂ©tĂ© par GLM-5.3 (Zhipu AI) et Grok 4.6. L’accĂšs Ă  DeepSeek passait probablement par le proxy/revendeur API xcai[.]pro.

đŸ•”ïž Attribution partielle

L’utilisation des mĂȘmes outils IA pour crĂ©er un CV a exposĂ© des informations d’identification, de contact et un compte Telegram de l’attaquant. CrowdStrike estime qu’il pourrait s’agir d’un individu de 26 ans, ayant Ă©tudiĂ© Ă  la South China University of Technology et rĂ©sidant Ă  Maoming, Guangdong, Chine. Ces Ă©lĂ©ments ne sont pas considĂ©rĂ©s comme suffisamment fiables pour confirmer l’identitĂ©.

💰 MonĂ©tisation

Aucun plan de monĂ©tisation prĂ©Ă©tabli n’a Ă©tĂ© identifiĂ©. L’attaquant a interrogĂ© Claude pour identifier des groupes Telegram de revente de donnĂ©es ciblant la CorĂ©e.

📩 Évolution d’ARTEX AI

Suite à la confirmation de son utilisation dans des attaques réelles, le développeur a rendu le projet closed-source et cessé les mises à jour. Des dérivés en anglais et en coréen existent néanmoins.

📰 Type d’article

Rapport d’incident basĂ© sur une investigation de CrowdStrike, visant Ă  documenter les TTPs, l’infrastructure et les Ă©lĂ©ments d’attribution d’une campagne d’attaques financiĂšres.

🧠 TTPs et IOCs dĂ©tectĂ©s

TTP

  • T1589 — Gather Victim Identity Information (Reconnaissance)
  • T1586 — Compromise Accounts (Resource Development)
  • T1657 — Financial Theft (Impact)
  • T1567 — Exfiltration Over Web Service (Exfiltration)
  • T1496 — Resource Hijacking (Impact)

IOC

⚠ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 12 octobre 2026 et n’ont pas fait l’objet d’une vĂ©rification externe. Un indicateur peut avoir Ă©tĂ© rĂ©attribuĂ© depuis : une IP de C2 peut redevenir un service lĂ©gitime, un domaine sinkholĂ© peut changer de propriĂ©taire. Aucune garantie d’exactitude ni d’actualitĂ© — contrĂŽlez leur validitĂ© avant tout usage opĂ©rationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ARTEX AI (framework)
  • Claude Code (tool)
  • DeepSeek v4.1-flash (tool)
  • GLM-5.3 (tool)
  • Grok 4.6 (tool)

🟡 Indice de vĂ©rification factuelle : 59/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 2718 chars — texte partiel (10pts)
  • ✅ 1 IOC(s) (6pts)
  • ✅ 1/1 IOC(s) confirmĂ©(s) (ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 5 TTPs MITRE identifiĂ©es (15pts)
  • ⬜ date RSS ou approximĂ©e (0pts)
  • ⬜ aucun acteur de menace nommĂ© (0pts)
  • ⬜ pas de CVE Ă  vĂ©rifier (0pts)

IOCs confirmés externellement :

  • xcai.pro (domain) → VT (3/92 dĂ©tections)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/hacker-used-artex-ai-and-claude-agents-to-target-south-korean-banks/

🖮 Archive : https://web.archive.org/web/20261010200159/https://www.bleepingcomputer.com/news/security/hacker-used-artex-ai-and-claude-agents-to-target-south-korean-banks/