Dieselbe IP-Adresse 38.244.50[.]120 stand laut CrowdStrike mit der Aktivität in Verbindung und beherbergte neben der ARTEX-Instanz ein offenes Verzeichnis mit einem Claude-Code-Markdown-Dokument unter http[:]//38.244.50[.]120:18899/.claude/CLAUDE.md. Dieses Markdown-Dokument enthielt laut CrowdStrike einen chinesischsprachigen Penetrationstest-Prompt, der festlegte, wie das LLM Penetrationstest-Aktivitäten durchführen sollte.
Der Angreifer setzte laut CrowdStrike ARTEX ein, ein kürzlich veröffentlichtes quelloffenes agentisches Penetrationstest-Werkzeug, das in China entwickelt wurde, zusammen mit großen Sprachmodellen. The Decoder zufolge wurde ARTEX erstmals im Juli 2026 auf GitHub veröffentlicht. Das Werkzeug verwendet laut The Decoder KI-Sprachmodelle für automatisiertes Penetrationstesting, findet also selbstständig Sicherheitslücken. Die ARTEX-Instanz nutzte laut CrowdStrike DeepSeek v4.1-flash als primäres LLM-Backend; der Angreifer ergänzte dieses LLM mit GLM-5.3 (Zhipu AI) und Grok 4.6 für zusätzliche Claude-Code-Sitzungen. Die Dateien zeigen laut CrowdStrike, dass der Angreifer von Ende September 2026 bis Anfang Oktober 2026 südkoreanische Finanzorganisationen mit umfangreicher Aktivität unter Nutzung von ARTEX und LLMs ins Visier nahm.
Laut Branchenberichten kam es ab Ende September 2026 bei mehreren südkoreanischen Finanzorganisationen zu Datenschutzverletzungen, wie CrowdStrike zusammenfasst. Zum Zeitpunkt des Berichts war die Zahl der betroffenen Organisationen laut CrowdStrike noch unbestätigt.
Bei einer betroffenen Bank drang der Angreifer Berichten zufolge in einen von Finanzmaklern genutzten Dienst zur Abfrage des Kreditfortschritts ein, so CrowdStrike. Bei einer anderen Bank kompromittierte der Angreifer laut CrowdStrike ein mobiles Arbeitsunterstützungssystem für Mitarbeiter. Die Aktivitäten bei mehreren Organisationen sollen laut CrowdStrike überlappende IP-Adressen aufgewiesen haben. Die angegriffenen Organisationen überschneiden sich laut CrowdStrike mit den in der Branchenberichterstattung genannten.
Die Aktivität wurde laut CrowdStrike keinem namentlich bekannten Angreifer zugeordnet; der Angreifer sei wahrscheinlich ein chinesischer Muttersprachler und finanziell motiviert. CrowdStrike Intelligence bewertet mit mittlerem Vertrauen, dass der Bedrohungsakteur wahrscheinlich chinesischsprachig und finanziell motiviert ist; diese Einschätzung basiert auf der Nutzung des in China entwickelten Werkzeugs ARTEX und beobachteten chinesischsprachigen Prompts. CrowdStrike zufolge zeigt der Fall, wie KI-Tools es einer einzelnen Person ermöglichen können, in kurzer Zeit massive Sicherheitsverletzungen durchzuführen. Laut The Decoder handelt es sich um die Art von Cybersicherheitsrisiko, vor der Expertinnen und Experten seit Monaten warnen.
Die Analyse von vom Angreifer kontrollierten offenen Verzeichnissen förderte laut CrowdStrike Claude-Code-Sitzungsverläufe, ARTEX-Konfigurationsdateien und Claude-Memory-Dateien zutage. Neben den ARTEX-bezogenen Operationen fragte der Angreifer Claude laut CrowdStrike, wo Angreifer typischerweise Informationen über südkoreanische Datenschutzverletzungen verkaufen, und bat um Unterstützung beim Auffinden koreanischer Telegram-Datenverkaufsgruppen. The Decoder berichtet, Forscher hätten Claude-Code-Sitzungsprotokolle in den offenen Verzeichnissen des Angreifers gefunden, die Suchen nach Telegram-Gruppen zum Verkauf gestohlener Daten zeigten. Ein unbekannter Angreifer verwendete laut CrowdStrike denselben Benutzernamen auch, um eine mögliche chinesische Zahlungsplattform anzugreifen. Claude-Code-Sitzungen, die Schwachstellenforschung zu einem Telegram-basierten NFT-Geschenkmarktplatz betrieben, nutzten laut CrowdStrike ebenfalls den Telegram-Benutzernamen YY520CN.
Die Analyse der in Hongkong ansässigen IP-Adresse identifizierte laut CrowdStrike weitere offene Verzeichnisse mit Claude-Code-Sitzungsverläufen, ARTEX-Konfigurationsdateien und Claude-Memory-Dateien. Auf DeepSeek griff der Angreifer laut CrowdStrike wahrscheinlich über den vermutlichen LLM-API-Proxy beziehungsweise Reseller xcai[.]pro zu. In einer Claude-Code-Sitzung bat der Nutzer Claude laut CrowdStrike, einen Lebenslauf als Sicherheitsforscher zu erstellen, der ausdrücklich Aufzählungspunkte mit den Ergebnissen der ARTEX-bezogenen Aktivität enthalten sollte. Präsident Lee Jae Myung forderte laut The Decoder eine gründliche Untersuchung. Südkoreas Finanzaufsicht hielt laut The Decoder eine Notfallbesprechung ab. CrowdStrike Intelligence bewertet, dass Gegner wahrscheinlich weiterhin mit der Implementierung von KI-Werkzeugen in ihren Operationen experimentieren werden, um ihr operationelles Tempo und ihre Fähigkeiten zu verbessern.