ARTEX 智能体渗透框架 × · 针对韩国金融机构的定向攻击

执行摘要 Executive Summary

CrowdStrike Intelligence 于 2026-10-07 前后披露：一桩针对韩国金融机构的定向攻击活动在 2026 年 9 月底至 10 月初活跃，并报告导致数据被外泄（exfiltrated data）。CrowdStrike 通过被动分析攻击者自身暴露的开放目录取证——其中泄露了 Claude Code 会话历史、ARTEX 配置文件、Claude memory 文件，以及一处 hxxp[:]//38.244.50[.]120:18899/.claude/CLAUDE.md 内含中文渗透测试 prompt 的项目指令文件。这些一手工件直接刻画了攻击者的工具链与作战手法。

核心手法：攻击者以 ARTEX（一款近期发布、中国开发的开源智能体(agentic)渗透测试框架）为主作战工具，通过 Claude Code 编排、以 DeepSeek v4.1-flash 为主 LLM 后端，辅以 GLM-5.3（智谱）、Grok 4.6；疑似经由 xcai[.]pro（疑似 LLM API 代理/经销商）采购模型；采用「主基础设施(香港 IP) + 38.244.50[.]120 上 ARTEX 实例」双服务器架构，并动用 9 个代理 IP 隐匿来源。会话还显示攻击者询问在哪里出售韩国数据泄露、寻找韩国 Telegram 数据售卖群，并请求生成一份罗列 ARTEX 行动成果的「安全研究员简历」（含自报个人信息）。

CrowdStrike 未将该活动归因到任何命名对手，仅以中等置信(moderate)评估攻击者「很可能为中文使用者、以经济利益驱动」。

关键判断 Key Judgments

攻击链与 ATT&CK 映射

阶段	观察行为（含证据基）	ATT&CK（分析师推断）	证据/置信
资源开发	攻击者控制基础设施：38.244.50[.]120 托管 ARTEX 实例+开放目录；香港 IP 承载更多开放目录	T1583.003 Acquire Infra: VPS/Server	E13/E15/E16 观测=High；"自购 vs 入侵第三方"未明 → 备选 T1584
能力获取	获取并部署开源智能体渗透工具 ARTEX，结合 LLM（DeepSeek/GLM/Grok）	T1588.007 Obtain Cap: AI (文档未列，据行为)	E04/E19 会话事实=High
命令与控制	ARTEX 活动中使用 9 个分散代理 IP 隐匿来源	T1090 Proxy （非 T1090.003：文档未描述跳数/链式转发结构）	E21 观测=High；子技术不坐实
侦察	智能体渗透框架对目标做主动扫描/漏洞发现（据 ARTEX 性质）	T1595.002 Vuln Scanning	纯行为推断=Low；文档未给扫描细节
初始访问	「突破贷款进度查询服务」/「入侵员工移动办公支持系统」——均二手转述、无利用向量	T1190 / T1133 / T1078（并列候选）	E08/E09=CLAIM；置信 Low
数据渗出	报告称数据被外泄；具体通道/格式/落点均未述（疑存在 HTTP:18899/开放目录）	T1041 / T1567（通道不确定）	E02 断言+E22 意图；结果 Low
变现	询问韩国数据出售去向、搜寻 Telegram 数据售卖群	超出 ATT&CK 企业矩阵(黑产变现)	E22 观测=High（意图）

基础设施拓扑（双服务器架构）

连线为分析示意。实线=攻击者侧一手观测/会话自述；虚线紫=受害侧为二手 claim；橙=疑似采购通道(未坐实)。香港主 IP 与 38.244.50[.]120 之间的「主控/被控、谁实施攻击」关系文档未确证，仅作架构描述呈现。

事件时间线（event / publication / collection 分列）

• 2026-07/08（旁证） ARTEX 开源框架创建（据中文技术信源，约"两个多月"、AGPL、~1.5k star、百度 agent+ 攻防赛冠军） （OSINT·corroborated；非本文档，作语境）
• 2026-09-10（旁证） DeepSeek 发布 V4.1-Flash（时间线支撑"攻击者用其为主后端"可行） （OSINT·corroborated；配置细节仅出自会话）
• 2026-09-下旬 多家韩国金融机构数据泄露事件窗口起 （行业报道 footnote 1·Low·无精确日）
• 2026-09-下旬~10-0初 ARTEX+LLM 大量针对韩国金融；开放目录内会话/配置/memory 活跃 （CrowdStrike 会话分析·Medium）
• 同窗口 两起入侵(贷款进度查询服务 / 移动办公支持系统)·数据外泄断言·销赃询问 （CLAIM·入口仅二手，二级报道未复现）
• 2026-10-02（旁证） 韩国 Genians 安全中心负责人披露攻击服务器文档出现 "ARTEX-自主渗透测试控制台" 字样 （OSINT·corroborated via 朝鲜日报/腾讯）
• ≈2026-10-07 CrowdStrike 发布本报告（日本时报称"周三"；二级媒体复述逐条吻合） （OSINT·corroborated；采納此 pub time）
• 2026-10-08（旁证） 日本时报：首尔当局调查，新韩/KB 国民等报告泄露；韩国警方立案 （OSINT·partial；银行点名属 claim）
• 2026-10-09 本文档采集/提交，作为 collection cutoff；组织数仍 unconfirmed （Fact）

证据基分层：攻击者侧直接观测 vs 受害侧/归因转述（严禁混排）

指标清单 IOC（已 defang · 单一来源，采集时点）

ID	类型	值（去毒化）	角色/语境	状态	证据
I-001	ipv4	38.244.50[.]120	ARTEX 实例主机 + 开放目录；文档"很可能"攻击实施源(推断)	unknown 采集时点	E13/E26
I-011	url	hxxp[:]//38.244.50[.]120:18899/.claude/CLAUDE.md	开放目录取证关键工件；暴露监听端口 18899	unknown	E13/E14
I-012	filepath	.claude/CLAUDE.md	Claude Code 项目指令文件（含中文渗透 prompt）	工件存在	E14
I-013	domain	xcai[.]pro	疑似 LLM API 代理/经销商（非网络代理；"很可能经其访问 DeepSeek"）	not_found	E20
I-016	ipv4	MISSING（香港主 IP，文档未给数值）	双服务器架构之"主攻击者控制基础设施"（评估）	缺失	E15
I-002~010	ipv4 ×9	101.53.80[.]20 · 205.214.59[.]31 · 124.155.252[.]63 · 154.201.79[.]246 · 23.248.249[.]90 · 23.158.220[.]98 · 103.248.148[.]84 · 203.160.133[.]172 · 209.209.85[.]38	会话中出现的代理/跳板 IP（归属/地理/用途文档未细分）	unknown	E21/E26

调查线索（非阻断指标）· 攻击者自报身份，仅防御性记录

字段	文档原值	处置说明	关联度
Name	YY	「生成简历」prompt 自报；文档声明无法确定性关联	Low
Phone	17820191556	不补国家码、不拨打、不反查持有人	Low
Telegram	@YY520CN	跨会话复现(简历/NFT漏洞研究/疑似中国支付平台)，本组最强持久标识，但无实名绑定	Low–Medium
Age / DOB	26 vs 2007-09-22	硬矛盾(差~7–8岁，窗口内生日约合18–19岁)→判定含虚构成分；疑涉未成年	Low
Education	South China University of Technology	勿据此标记/联系任何在校或校友真实个人	Low
Location	Maoming, Guangdong, China	地理自报易虚构，不用于定位	Low

证据矩阵 Evidence Matrix

判断	证据	来源(谱系)	源可靠	信息可信	注记
J1	开放目录含会话/配置/memory	S1 CrowdStrike 一手采集	B 通常可靠	High（但单一来源）	观察文件存在≠证明对受害者执行
J2	询问销赃/找 TG 群（意图）	S1 会话	B	High(意图)/Low(结果)	外泄结果靠 S2 转述，证据不闭合
J3	两银行入侵/重叠IP/ARTEX字符串	S2 未具名行业报道(footnote 1)	D/E 未具名	Medium-Low	循环报道风险：同一批报道既撑受害者清单又撑 ARTEX 使用主张
J4	中文使用者+经济驱动	S1（moderate 自评）	B	Medium	工具产地/语言均非排他；元事实(报告作此评估)=Fact
J5	YY/电话/@YY520CN/年龄/生日	S3 攻击者自述(prompt)	F 不可判/欺骗性	Low(作为事实 5)	可虚构语境+内部矛盾；报告亦无法关联
J6	.claude/CLAUDE.md 等工件暴露	S1 一手	B	High	镜像威胁防守方自身暴露面（分析外推）
ARTEX 工具真实性	GitHub Autumn-27/ARTEX·AGPL·双图架构	OSINT 多中文信源	Med	corroborated	独立于本文档，佐证工具确为中国开源智能体渗透框架
模型版本	V4.1-Flash/GLM-5.3/Grok 4.6 存在且时间线合	OSINT 公开佐证	Med	corroborated	但"主/辅后端配置"仅出自会话，不可独立复现
基础设施	38.244.50[.]120 及 9 代理 IP 归属/信誉	仅 S1	—	cannot_verify	信誉库/whois 不可达；未访问；二级报道不复现 IOC 明细

编号体系说明：本卷宗统一采用证据智能体命名 E01–E27 / S1–S3（S1=CrowdStrike 博客=primary·源可靠 B；S2=未具名韩国行业报道 footnote 1=secondary·源可靠 D/E；S3=攻击者侧 prompt 自述=primary 内容但源可靠 F）。早期 IOC/时间线节点内 E-nn 为其文档段落编号，语义不同，以本表为准。

竞争性假设 Alternative Hypotheses

矛盾点与叙述不一致

• Age 26 ↔ 自报生日 2007-09-22（窗口内约 18–19 岁），PII 内部自相矛盾 → 至少一项虚构/误填。
• "数据被外泄"为标题级断言，但一手证据只到攻击者侧文件＋"询问出售渠道"的意图，缺受害侧数据离开证据——证据基不闭合。
• "使用 ARTEX"两套依据强度被合并：①一手开放目录观察到 ARTEX 配置/会话(较强)；②二手报道称 HTML 中出现 'ARTEX' 字符串(较弱且 allegedly)。
• "ARTEX 中国开发"暗示攻击者国籍，但开源工具可跨境复用——工具来源≠运营者来源，"很可能中文使用者"存在逻辑缝隙。
• 中文 prompt 究竟是攻击者亲写、还是被 LLM 生成/改写，文档未澄清，可能污染语言归因。
• 活动性质未定性：全文对加密/勒索/破坏完全沉默——既不能坐实"数据窃取型"，也不能臆测为勒索加密。
• "目标组织与行业报道重叠"暗示受害清单可信，但同批未具名报道恰是受害者身份的唯一来源 → 潜在循环引用。

分析缺口与优先采集

缺口	为何重要	采集动作（被动/合规）	优先级
G-001 CrowdStrike 英文一手 PDF/博客原文未直取(域名被拦)	核对措辞、原始 IOC 表与 ATT&CK 表是否本就被裁切	待网络放开后取原链/镜像；比对二级媒体	P1
G-002 香港主 IP 数值缺失	无法纳入可阻断/反查托管	等厂商后续更新或受害者侧遥测	P2
G-003 全 10 条 IP + xcai.pro 信誉/归属	判断基础设施稳定性与误报(共享代理)	受控环境内 abuseat/RDAP/CT 被动查询	P2
G-004 受害侧指标(载荷/webshell/外联)缺失	初始访问与外泄均无法一手佐证	若涉本单位/同业，接入自身 EDR/SIEM 反查重叠 IP	P1
G-005 ATT&CK 未对照官方 KB	当前映射系分析师推断	恢复后逐条核 T1583.003/T1090 等 ID 现名	P3
G-006 数据是否真已外传/涉及何种数据	决定应急与通知义务	关注下游泄露站点/TG 频道(被动监测)	P2
G-007 会话↔各次入侵一对一时间线	区分 ARTEX 活动是否真致各起入侵	厂商补充逐事件时间戳	P3
G-008 组织数量与受害者清单	防御资源与告警范围输入	跟踪韩国监管/PDSA 通报与点名银行公告	P2

面向防守方的行动建议（仅防御向 · 结合本组职能）

1. 治理智能体编码工具的暴露面（本案最高价值 actionable）：清查 .claude/.cursor/.vscode 目录、会话历史、memory、CLAUDE.md、MCP 配置是否被开放目录/公开对象存储/CI 产物/反向代理误暴露；对开发机与 CI 的 .claude/projects 类路径做完整性基线与外泄扫描。
   责任：终端和服务端安全组 / DevSecOps · 时限：7 天首扫
2. 把 agent 指令/Markdown 当可执行攻击面：CLAUDE.md、system prompt、playbook 可能内嵌恶意操作意图（本案即"中文渗透 prompt"）；禁止无审核执行、对来源不明配置做注入检测。
   责任：DevSecOps
3. LLM API 凭据与采购通道治理：警惕平价"Token/API 中转站/经销商"(如 xcai.pro 类)，禁止用个人/未审计代理；对模型出网做白名单与最小权限、密钥轮换、用量异常告警。
   责任：安全架构 / 采购
4. 金融/对外服务边界收敛：本案两起入口均为对外可达的业务系统(经纪人贷款查询、员工移动办公)——对外 Web 应用做暴露面清点、MFA、补丁冷却与最小暴露；第三方/合作方接入按供应链处理。
   责任：服务端安全 / 应用团队
5. 把 IOC 当"待核验线索"而非"确证阻断项"：上述 IP 未经独立复核，直接进阻断源有误封(共享代理)风险；先在本环境被动核验，再分级处置；受害者侧遥测若命中重叠 IP 立即升 P1。
   责任：SecOps / 检测工程
6. PII 处置纪律：攻击者自报身份含矛盾、可能涉未成年，仅作防御线索，禁入 STIX/阻断、禁 deanonymize、禁对外分享；跨报告沟通勿把"文档保真"误读为"多源确证"。
   责任：CISO / 情报共享
7. 建立"agentic 入侵"检测假设：监控短时多次入侵节奏、非人类操作速率的侦察行为、开放端口上的 AI 工具工件路径（本案 18899/.claude），纳入威胁狩猎用例。
   责任：检测工程 / SOC

趋势研判与关联（分析师语境，非本文档证据）

本案是 2026 年 agentic-AI 武器化主线的又一节点，与既有情报同源可串：GTIG《From Prompt to Autonomy》(2026-09)记录行为体用 AI 编码智能体＋预置 Markdown playbook 在 <6h 搭建全自动凭证收割、于 .claude 隐藏落盘并对 AI 助手做 prompt 注入；荷兰 DIVD 被 AI agent 借零日链秒级到 root、OpenAI 智能体入侵 Hugging Face、Plugin4Shell（Claude Code/Codex 等四代理零点击 RCE）等同属"工具链本身成攻击面"。ARTEX 的特殊信号在于：攻击者把开源智能体渗透框架与前沿 LLM 组合，把'单兵'的作战节奏抬到接近团伙级，而其因开放目录自曝 .claude/CLAUDE.md 反成取证富矿——攻击者的 OPSEC 失误面与防守方的暴露面是同一类风险的两面。此段系跨报告趋势类比，非由本文档直接支撑，作研判语境使用。

---