ARTEX AI Pentesting Tool Used in Data Theft Attacks on South Korean Financial Firms
The Hacker News · 8 oct, 16:12
Investigadores de seguridad revelaron una campaña dirigida contra instituciones financieras surcoreanas que utilizó ARTEX, una herramienta de pentesting agentic de código abierto desarrollada en China, para exfiltrar datos entre septiembre y octubre de 2026. El incidente obligó a su desarrollador a cerrar el código fuente. De forma paralela, se descubrió SCARLET LOOP, una plataforma automatizada de credential stuffing y toma de cuentas operada por un actor lusófono que utiliza múltiples LLM para atacar a escala plataformas de lealtad y tarjetas de regalo en Brasil.
CrowdStrike identificó la campaña tras descubrir directorios abiertos en una dirección IP con sede en Hong Kong que exponían historiales de sesiones de Claude Code, archivos de memoria y configuraciones de ARTEX. El actor amenaza utiliza DeepSeek v4.1-flash como backend principal, complementado con GLM-5.3 y Grok 4.6, accediendo a través del revendedor de API "xcai.pro". El análisis de sesiones de Claude reveló que el operador sospechoso, potencialmente hispanohablante, preguntó a Claude dónde vender datos robados coreanos y pidió ayuda para encontrar grupos de venta de datos en Telegram.
SCARLET LOOP automatiza el flujo completo de toma de cuentas en cuatro fases: descubrimiento de objetivos de alto valor (principalmente plataformas brasileñas de lealtad), obtención de credenciales de infostealer logs, ejecución de login con navegador anti-detección que falsifica canvas, WebGL, zona horaria y geolocalización, y exfiltración a Telegram. Un servidor expuesto reveló que se probaron 12.277.358 credenciales, de las cuales 11.832 fueron clasificadas como válidas en 3.968 dominios. La plataforma incluye un modo "AUTO" que desactiva el modelo LLM tras logins exitosos repetidos para ahorrar tokens.
Puntos clave
- ARTEX utiliza DeepSeek v4.1-flash, GLM-5.3 y Grok 4.6 accedidos vía revendedor "xcai.pro"
- El desarrollador Autumn-27 pasó ARTEX a código cerrado tras el abuso malicioso
- SCARLET LOOP prueba 12.277.358 credenciales; 11.832 válidas en 3.968 dominios
- Campaña dirigida a instituciones financieras surcoreanas activa septiembre-octubre 2026
- Plataforma automatiza credential stuffing con anti-detección y bypass de captchas