Hunt.io, Güney Kore'deki banka ihlallerinin arkasındaki ARTEX altyapısını haritaladı
Hunt.io, Eylül sonu ile Ekim başında yedi Güney Kore finans kurumunu etkileyen ihlallerle bağlantılı Hong Kong merkezli bir atlama sunucusu ve açık dizin buldu. Bulgular, AI agent tabanlı ARTEX çerçevesinin operasyonda nasıl kullanıldığını gösteriyor.
Tehdit istihbaratı şirketi Hunt.io, Güney Kore'de yedi finans kurumunu etkileyen veri ihlalleriyle bağlantılı altyapıya ilişkin yeni bir analiz yayımladı. Şirketin bulguları, daha önce sitemizde Storm-0940 kampanyası ve Censys'in açık kurulum taramasıyla gündeme gelen ARTEX çerçevesinin, finans sektörüne yönelik operasyonda da merkezi rol oynadığını gösteriyor.
ARTEX, Çin'de geliştirilen ve AGPL-3.0 lisanslı açık kaynak bir otonom sızma testi (pentest) çerçevesi olarak tanımlanıyor. Genians'a göre aracın GitHub deposu ve Docker imajı 11 Ekim'de kaldırıldı; ancak çatallar (fork) ve kopyalar hâlâ dolaşımda.
Ne bulundu?
Hunt.io'nun aktardığına göre Eylül sonu ile Ekim başı arasında yedi Güney Kore finans kurumunda internete açık sistemler üzerinden ihlal yaşandı; yaklaşık 66-67 bin kişi ve 2.200 civarında şirketin kişisel, istihdam, gelir ve kredi verisi etkilendi. Kurumların adı açıklanmadı.
Şirket, kampanyayla bir atlama sunucusu (jump host) yapılandırma dosyası üzerinden ilişkilendirdiği, Hong Kong merkezli bir açık dizin tespit etti. Analizde öne çıkanlar:
- Kod denetimi, keşif, WAF atlatma, web kimlik doğrulama ve ödeme mantığı gibi alanları kapsayan 19 özel agent becerisi ve bunların 147 kez kullanıldığına dair kayıtlar,
- İlk 100 kimlikte 79 farklı çıkış IP'si sunan bir proxy hizmeti,
- Sertifika ve sayfa başlığı üzerinden yapılan pivotlarla, yedi dilde 19 olası ARTEX konsolu.
CrowdStrike'ın 7 Ekim tarihli değerlendirmesine göre operatör, orta güvenle, kurumsal bir tehdit grubu yerine maddi kazanç peşindeki Çince konuşan tek bir kişi. Hunt.io kendi analizinde aktör adı vermiyor ve kurtarılan bazı Exchange, kripto ve mobil araçların Kore ihlalleriyle bağlantısının doğrulanmadığını belirtiyor.
Neden önemli?
Olay, AI agent tabanlı saldırı araçlarının tek bir operatörün kapasitesini nasıl büyüttüğünü somut olarak gösteriyor: keşiften WAF atlatmaya kadar adımlar hazır "becerilere" bölünmüş durumda. Finans kurumları için internete açık uygulamalardaki yamasız servisler, bu tür otomasyonun ilk hedefi oluyor.
Ne yapılmalı?
- İnternete açık yönetim arayüzlerini kaldırın; erişimi VPN veya izin listesi arkasına alın.
- İnternete açık servislerin patch durumunu gözden geçirin; özellikle JNDI/LDAP kaynaklı istismar yüzeylerini önceliklendirin.
- Ağ izlemede LDAP/JNDI trafiği, beklenmeyen DNS geri çağrıları ve uzak betik indirmelerini alarm kuralına bağlayın.
- SSH parolalarını, API anahtarlarını, proxy kimlik bilgilerini ve token'ları döndürün; sırları yönetilen bir kasada tutun.
- Hunt.io'nun yayımladığı IOC tablosunu (IP, alan adı, TLS sertifika parmak izi, HTTP başlığı) SIEM ve tehdit avı süreçlerinize ekleyin.
