Ein unbekannter Angreifer hat mehrere südkoreanische Finanzunternehmen mit dem autonomen Pentesting-System ARTEX und gleich mehreren KI-Modellen attackiert. Dabei flossen Kundendaten ab. Offene Server lieferten CrowdStrike einen ungewöhnlich detaillierten Einblick in die Arbeit des Hackers.
Angriff beginnt Ende September
Die Kampagne lief von Ende September bis Anfang Oktober 2026. Betroffen waren unter anderem Shinhan Bank, KB Kookmin Bank und Hana Bank.
Bei Shinhan erbeutete der Angreifer 25.727 Datensätze mit Namen, Kontaktdaten, Einkommen und Kreditlimits. In anderen Fällen traf es einen Dienst für Kreditanfragen sowie eine mobile Arbeitsanwendung für Bankmitarbeiter.
Die Angriffe richteten sich gegen weniger geschützte Nebensysteme statt gegen das Onlinebanking. Südkoreanische Behörden untersuchen die Vorfälle. Wie viele Finanzunternehmen insgesamt betroffen sind und wie viele Daten gestohlen wurden, ist noch nicht geklärt.
Anzeige
Offene Server verraten das KI-Arsenal
CrowdStrike stieß auf zwei Server des Angreifers. Einer in Hongkong diente als zentrale Infrastruktur, der zweite führte ARTEX aus. In frei zugänglichen Verzeichnissen lagen Konfigurationen, Speicherdateien und komplette Sitzungsverläufe von Claude Code.
ARTEX ist ein chinesisches Open-Source-Projekt für autonome Penetrationstests. Bei den Angriffen arbeitete es hauptsächlich mit DeepSeek v4.1-flash.
Weitere Sitzungen liefen mit GLM-5.3 und Grok 4.6 über Claude Code. Der Hacker kombinierte damit ein automatisiertes Angriffssystem mit mehreren KI-Modellen, die unterschiedliche Aufgaben übernehmen konnten.
In einer Sitzung ließ der Nutzer sogar einen Lebenslauf mit persönlichen Angaben erstellen. Er fragte Claude außerdem nach Telegram-Gruppen und Handelsplätzen für gestohlene koreanische Daten.
CrowdStrike hält den Angreifer deshalb für finanziell motiviert und wahrscheinlich chinesischsprachig. Ob die Angaben aus dem Lebenslauf wirklich zu ihm gehören, ließ sich nicht bestätigen.
