クラウドストライク、ARTEX設定ファイルを押収 韓国金融機関への攻撃に使用と分析

セキュリティ企業CrowdStrikeは10月7日、攻撃者が管理するサーバーからARTEXの設定ファイルとClaude Codeの作業記録を発見したとの分析を公開した。同社は、このツールが韓国の金融機関への攻撃に使用された可能性が高いと評価している。

CrowdStrikeによると、攻撃者は香港のサーバーを主要拠点として使用し、ARTEXを別のサーバー上で実行していた。同社はARTEXの設定ファイルとAIによる作業記録を、攻撃者が管理するフォルダから取得したとしている。

韓国のセキュリティ企業も独自の分析を進めている。SK ShieldsはARTEXのソースコードバージョン0.3.14を分析し、PlannerとWorkerエージェントの構造を明らかにした。Everspinはテスト用Webアプリケーションに対してARTEXを用いた実験を行い、6回の作業サイクルを経て22秒で目標を達成した。Enki Whitehatは、ARTEXが一般的なWeb脆弱性スキャンツールよりも広範な攻撃範囲を持つと評価している。

攻撃の痕跡と政府の対応

今回の分析に先立ち、10月2日にはGeniansのMoon Jong-hyun氏がLinkedInで、韓国内の複数の標的への攻撃に使用されたWebサーバーのHTMLに「ARTEX — 自主渗透测试控制台」という文字列が含まれていたと述べていた。10月4日には金融委員会のLee Eok-won委員長が金融セクターの緊急点検会議で、AIベースの攻撃の可能性を排除できないと発言している。

ARTEXはGitHub上で開発者により「AI自律ペネトレーションテストシステム」と説明されており、Baiduの「Agent+攻防チャレンジ」の受賞作品でもある。