Zscaler: Hackerlar küresel saldırılarda yapay zeka modellerini zincirleme kullandı

Çince konuşan bir hacker, birkaç yapay zeka kodlama asistanını, ajan tabanlı bir sızma testi çerçevesi olan ARTEX'e bağlayarak küresel bir saldırı kampanyası yürüttü. Zscaler ↗ 2.78% ThreatLabz, operatörün DeepSeek, GLM ve Grok modellerini araştırmaları bölümlere ayırmak ve birbirlerinin çalışmalarını denetlemek üzere yapılandırdığını belirtti. 21 Ekim'de yayınlanan bulgular, ilk olarak Güney Kore bankalarına yönelik saldırılarla tanınan kampanyanın Amerika Birleşik Devletleri, Birleşik Krallık, Japonya, Hindistan, Nijerya ve BAE dahil olmak üzere yaklaşık 19 ülke ve bölgedeki kuruluşlara ulaştığını gösteriyor.gbhackers.com

Çok modelli saldırı iş akışı

ThreatLabz, operasyonu özelleştirilmiş bir ARTEX kurulumundan yola çıkarak birleştirdi. Zscaler'a göre bu kurulum; yapay zeka asistanı yapılandırmalarını, senkronizasyon betiklerini, ağ yönlendirme araçlarını ve 4 Ağustos ile 4 Ekim 2026 tarihleri arasını kapsayan bir Claude Code istem geçmişini içeriyordu. Araştırmacı Seongsu Park, The Hacker News'e verdiği demeçte, "ARTEX, OpenAI uyumlu bir ağ geçidi aracılığıyla bir DeepSeek modeli kullanacak şekilde yapılandırılmıştı, ancak diğer yapılandırmalar DeepSeek, GLM ve Grok'u da belirtiyordu" dedi.thehackernews.com+1

İstemlerde, DeepSeek ilk araştırmayı yaptı ve GLM bulgularını gözden geçirdi. ThreatLabz'a göre Grok'a grok2api adlı bir köprü hizmeti aracılığıyla bir atlama sunucusunda araştırma görevleri verildi ve Codex, çalışmaların oturumlar arasında aktarılabilmesi için kaydedilen notları alacak şekilde ayarlandı. Bir istemde şu ifade yer alıyordu: "DeepSeek tüm saldırı yüzeylerini tükettiğini söylediğinde ve ben bir GLM incelemesi başlat dediğimde, GLM, DeepSeek'in önceki çalışmalarını gözden geçirmelidir." Operatörün ARTEX konteyneri; Nmap, SQLmap, Nuclei, JADX ve Frida gibi yaygın hack araçlarını ekledi. Kanıtlar Backblaze ↘ 7.82% B2 depolama alanında arşivlendi.zscaler.com

Zscaler, yapılandırmaların yalnızca hangi modellerin istendiğini gösterdiği konusunda uyardı. Her oturumu yanıtlayan model doğrulanamadığından, bazı oturumlar Anthropic'in Claude modellerini kullanmış olabilir.

Hedefler ve motivasyon

İstemlerde arkadaşlık uygulamaları, SMS sağlayıcıları, kripto ve ödeme platformları, kumar siteleri, perakendeciler, eğitim hizmetleri ve lojistik firmalarının isimleri geçiyordu. Telefon numaraları, kişisel kayıtlar ve ödeme ağ geçidi API anahtarlarına odaklandılar. ThreatLabz'ın bildirdiğine göre operatör ayrıca çalınan Kore verilerinin genellikle nerede satıldığını da sordu. Zscaler, kayıtların her hedefte doğrulanmış ihlalleri değil, denenen araştırmaları gösterdiğini belirtti.zscaler.com

Aynı şirketin 14 Ekim tarihli raporu, kampanyayı Güney Koreli finans kuruluşlarından yaklaşık 67.000 kişinin verilerinin çalınmasıyla ilişkilendirdi. Faaliyeti, orta düzeyde bir güvenle, finansal motivasyonlu, Çince konuşan bir aktöre atfetti.zscaler.com

Büyüyen ARTEX sorunu

Bu ifşa, ARTEX'in kötüye kullanımının arttığı bir dönemde geldi. The Hacker News'in bildirdiğine göre, Çarşamba günü Microsoft ↘ 2.23%, Storm-0940 olarak adlandırdığı Çin destekli bir grubu ConnectWise Cloud Backup tedarik zinciri ihlaliyle ilişkilendirdi ve grubun şifre püskürtme ve OAuth istismarını hızlandırmak için ARTEX'i kullandığını belirtti. Cyber Security News'in haberine göre Microsoft, grubun dakikada 2.900 deneme ile 2.250'den fazla Microsoft 365 kiracısına giriş yapmaya çalıştığını bildirdi. Aynı yayın, Zscaler ve Microsoft soruşturmalarının iki operasyonun aynı operatörü paylaştığını göstermediğini de kaydetti. GBHackers'a göre, Mastercard ↗ 1.70% tarafından sahip olunan Recorded Future, Kore odaklı kümeyi TAG-217 olarak takip ediyor ve CrowdStrike ↘ 0.58% ise aktörün sunucularında ifşa edilmiş Claude Code geçmişlerini ayrı olarak buldu.gbhackers.com+2

Güney Kore saldırılarından sonra ARTEX projesi kapalı kaynak haline getirildi. The Hacker News, halka açık çatalların (fork) hala mevcut olduğunu belirtti.thehackernews.com