CrowdStrike, dokuz Güney Koreli finans kuruluşuna yapılan saldırıları ifşa olan Claude Code kayıtları üzerinden takip etti

Soruşturma nasıl gelişti

7 Ekim'de yerel saatle CrowdStrike, Güney Koreli finans kurumlarına yönelik bir kampanyayla bağlantılı altyapının analizini yayımladı. Rapora göre 38.244.50[.]120 IP adresi, açık kaynaklı otonom sızma testi çerçevesi ARTEX'in bir örneğini barındırıyordu ve yanında herkese açık bir dizin bulunuyordu. Bu dizinde, Çince yazılmış bir sızma testi prompt'u ve ikinci bir IP adresi (Hong Kong kaynaklı) içeren bir Claude Code Markdown dosyası duruyordu.

Bu ipucunun ardından CrowdStrike, daha fazla Claude Code oturum geçmişi, ARTEX yapılandırma dosyaları ve Claude bellek dosyalarına ulaştı. Bunlar birlikte iki sunuculu bir kurulumu tarif ediyordu: Hong Kong makinesi ana kontrol sunucusu olarak işlev görürken, diğer adresteki ARTEX örneği sızma eylemlerini gerçekleştiriyordu.

İki sunucu ve üç yapay zeka modeli

Japon yayın organı Joho no Todai'nin aktardığı CrowdStrike bulguları, ARTEX'in ana dil modeli arka ucu olarak DeepSeek v4.1-flash üzerinde çalıştığını, ayrıca Claude Code oturumlarının Zhipu AI'dan GLM-5.3 ve Grok 4.6 kullandığını gösteriyor. DeepSeek erişimi, bir LLM API proxy satıcısı olan xcai[.]pro üzerinden sağlanmış olabilir. Şirket ayrıca ihlal göstergesi (IOC) olarak dokuz proxy IP adresi yayımladı.

ARTEX 26 Temmuz'da GitHub'da ortaya çıktı. LLM'leri çok ajanlı bir mimariyle birleştirerek keşif, zafiyet tespiti, saldırı yolu planlama, yürütme ve doğrulama süreçlerini otomatikleştiriyor. Ağırlıklı olarak Çince konuşan kullanıcılar için yazılmış olsa da herkes indirebilir.

Bir özgeçmişteki kimlik ipuçları

Kayıtlardaki her şey saldırının kendisiyle ilgili değildi. Bir oturumda saldırgan, Claude Code'dan bir güvenlik araştırmacısının özgeçmişini hazırlamasını ve saldırı sonuçlarını başarımlar olarak listelemesini istedi. Prompt'ta kişisel bilgiler vardı: @YY520CN Telegram hesabı, 26 yaş, Güney Çin Teknoloji Üniversitesi diploması ve Guangdong eyaletindeki Maoming'de ikamet. Aynı kullanıcı adı, daha önce Telegram tabanlı bir NFT pazar yerine yapılan zafiyet araştırmasında ve bir Çin ödeme platformuna yapılan saldırılarda da ortaya çıkmıştı. Başka bir oturumda, sızdırılan Güney Kore verilerinin satılabileceği Telegram gruplarının nasıl bulunacağına dair bir soru yer alıyordu.

CrowdStrike, bu ayrıntıların ARTEX saldırılarına karışan birine ait olma ihtimalinin yüksek olduğunu düşünmekle birlikte, faaliyeti "kesin olarak atfedemeyeceğini" belirtti. Saldırganın Çince konuşan ve maddi motivasyonlu olduğuna dair değerlendirmesi yalnızca orta düzeyde güven taşıyor ve şirket kampanyayı Çin hükümetine bağlamadı.

Dokuz hedef, eşit olmayan hasar

Dokuz Güney Koreli finans kuruluşuna saldırıldı ve yedisinde veri sızıntısı doğrulandı. Joho no Todai'nin aktardığı rakamlara göre Shinhan Bank'ta etkilenen kişi sayısı yaklaşık 25.000, Yegaram Savings Bank'ta ise 40.000 civarında; KB Kookmin Bank (119), Hana Bank (89), BNK Busan Bank (11 taşeron personel), Welcome Savings Bank ve Hyundai Capital da etkilendi. Kampanya toplamda 65.000'den fazla kişiye ilişkin verilere dokundu. Woori Bank ve NH NongHyup Bank'a da saldırıldı, ancak hedeflenen zafiyetler sistemlerinde bulunmadığı için hasardan kurtuldular.

Giriş noktaları, müşterilerin kullandığı internet bankacılığı platformları değil; kredi başvuru durumu sorgulama servisleri ve satış temsilcileri için mobil araçlar gibi çalışanlar ve kredi aracıları tarafından kullanılan iş destek sistemleriydi. Bunlar internet üzerinde yer alır ama genellikle çekirdek işlem sistemlerinden daha az koruma alır. Güney Kore Finansal Güvenlik Enstitüsü, Shinhan Bank'a saldıran IP adreslerinden ve sunucu kayıtlarından ARTEX kullanımını bağımsız olarak doğruladı, ancak sekiz ülkedeki IP'lerin devrede olmasına dikkat çekerek yalnızca adrese dayalı atfın güvenilmez olduğunu belirtti. 6 Ekim'de Cumhurbaşkanı Lee Jae-myung, bazı siber saldırı olaylarında yapay zeka kullanımına dair belirtiler olduğunu belirterek yapay zeka çağına yönelik siber savunmaların kapsamlı biçimde elden geçirilmesini emretti.

Neden önemli

Bu olay, yapay zeka destekli saldırının iki yüzünü de gözler önüne seriyor. Tek bir operatör, açık kaynaklı çok ajanlı bir çerçeve ve hazır LLM API'leri kullanarak kısa sürede dokuz finans kuruluşuna sızma girişiminde bulundu. Ancak Güney Kore Finansal Güvenlik Enstitüsü, yapay zekanın otonom bir aktör değil, insan yönlendirmesi altında bir araç olarak davrandığı noktasında netti; üstelik insanın operasyon becerisi kötüydü: herkesin okuyabildiği bir dizindeki işlem kayıtları, bir özgeçmişte listelenen saldırı sonuçları ve çalınan verilerin nerede satılabileceğine dair bir yapay zeka sorgusu, araştırmacılara突破口 kırılma noktasını sağladı. Yapay zeka keşif ve sızma süreçlerini hızlandırdı ama saldırganın izlerini gizleme yeteneğini geliştirmedi. Savunmacılar için çıkarımlar şunlar: dışa açık iş destek sistemlerine çekirdek bankacılık platformlarıyla aynı özeni göstermek ve saldırgan altyapısında bırakılan yapay zeka oturum geçmişleri ile yapılandırma dosyalarını değerli bir yeni adli kanıt sınıfı olarak ele almak.