CrowdStrike relie ARTEX à une campagne en Corée du Sud

Campagne ciblée CrowdStrike a identifié une campagne menée par un acteur présumé basé en Chine contre des organisations financières sud-coréennes. Les intrusions se sont déroulées de fin septembre à début octobre 2026. L’attaquant a utilisé ARTEX, un outil de test d’intrusion agentique à code ouvert récemment publié en Chine. Il l’a associé au modèle Claude d’Anthropic. CrowdStrike indique que des données ont été exfiltrées après la compromission de plusieurs organisations financières. L’entreprise estime, avec un niveau de confiance modéré, que l’attaquant est sinophone et motivé par des gains financiers. Elle a publié ses conclusions dans un billet daté du 7 octobre 2026.

Services compromis ARTEX a principalement servi à rechercher des vulnérabilités et à compromettre certains services des organisations visées. Dans une banque, l’attaquant a compromis un service de suivi des demandes de prêt utilisé par des courtiers financiers. Dans une autre, il a pris le contrôle d’un système d’assistance au travail mobile destiné aux employés. Les attaques ont également concerné Shinhan Bank et Yegaram Savings Bank. D’après le Straits Times, ces deux établissements ont signalé des violations touchant respectivement 25 000 et 40 000 personnes. Le nombre total d’organisations concernées n’était toutefois pas confirmé au moment de l’enquête.

ARTEX coordonne plusieurs modèles

Infrastructure contrôlée Les chercheurs ont relié toutes les attaques à une même adresse IP. Cette adresse hébergeait une instance d’ARTEX et un répertoire ouvert contenant un document Markdown pour Claude Code. Le document présentait une consigne en chinois indiquant comment le modèle devait conduire des tests d’intrusion. L’instance ARTEX utilisait DeepSeek v4.1-flash comme modèle principal. L’attaquant complétait ces sessions avec GLM-5.3, développé par l’entreprise chinoise Zhipu AI, ainsi qu’avec Grok 4.6. Une seconde adresse IP contrôlée par l’attaquant, située à Hong Kong, apparaissait également dans le document.

Traces de session L’adresse IP de Hong Kong contenait d’autres répertoires ouverts. Les chercheurs y ont trouvé des historiques de sessions Claude Code, des fichiers de configuration ARTEX et des fichiers mémoire de Claude. Une session comportait une consigne contenant le nom d’utilisateur Telegram YY520CN et la ville de Maoming, dans le Guangdong. CrowdStrike estime que ces informations appartiennent probablement à l’acteur ayant conduit les opérations liées à ARTEX. L’attaquant a aussi demandé à Claude de rechercher des groupes Telegram coréens spécialisés dans la vente de données. Cette demande visait à tenter de vendre les informations volées.

Les banques renforcent leurs alertes

Alerte aux clients La Commission des services financiers de Corée du Sud a publié une alerte aux consommateurs le 6 octobre. Elle a appelé les clients des entreprises piratées à rester vigilants face aux attaques par hameçonnage et aux escroqueries liées aux prêts. Les organisations touchées poursuivent leurs investigations sur l’étendue des violations de données. Elles doivent également communiquer de nouvelles informations. La Commission des services financiers a relayé cet avertissement. Le Straits Times a détaillé les impacts signalés chez Shinhan Bank et Yegaram Savings Bank.