هکر بانک کره‌ای از کلود پرسید که داده‌های دزدیده‌شده را کجا بفروشد، کراوداسترایک می‌گوید

مهاجم مظنون پشت نقض‌های اخیر بانک‌های کره جنوبی از یک ابزار کدنویسی هوش مصنوعی پرسید که داده‌های نقض شده کجا فروخته می‌شود. کراوداسترایک این درخواست را در لاگ‌های جلسه‌ای که در دایرکتوری‌های باز روی سرورهای تحت کنترل مهاجم ذخیره شده بود، یافت.

چندین بانک کره جنوبی در هفته گذشته از نشت داده‌های مشتریان خود خبر داده‌اند. گزارش 7 اکتبر کراوداسترایک می‌گوید که این کمپین از یک ابزار تست نفوذ هوش مصنوعی ساخته شده در چین و چندین مدل زبانی استفاده کرده است.

آنچه تاکنون درباره نقض‌های بانک‌های کره‌ای شناخته شده است

یک رشته حملات به چندین وام‌دهنده کره‌ای به طور متوالی بین اواخر سپتامبر و اوایل اکتبر رخ داد. بانک شینهان در 30 سپتامبر تأیید کرد که مورد نقض قرار گرفته و یک روز بعد گفت که حدود 25,000 مشتری تحت تأثیر قرار گرفته‌اند. مهاجم از چک‌های هویتی در یک سرویس وام موبایلی که وام‌دهندگان برای پیگیری درخواست‌ها استفاده می‌کنند، عبور کرد.

سوابق افشا شده شامل نام‌ها، شماره‌های تلفن، درآمد سالانه و محدودیت‌های وام محاسبه شده بود. همچنین شامل 66 شماره ثبت‌نام ساکن، شماره‌های ملی کره جنوبی بود.

بانک KB Kookmin در 2 اکتبر اعلام کرد که داده‌های 119 مشتری از طریق یک سیستم موبایلی که کارکنانش استفاده می‌کنند، نشت کرده است. بانک هانا 89 مشتری تحت تأثیر را افشا کرد، در حالی که BNK گفت که سوابق 11 کارمند برون‌سپاری شده دزدیده شده است.

سپس رئیس‌جمهور لی جائه میونگ در یک جلسه کابینه سؤال هوش مصنوعی را مطرح کرد. پلیس از آن زمان یک تحقیق کامل را آغاز کرده است.

"در برخی از حوادث هک، نشانه‌هایی از استفاده از هوش مصنوعی مشاهده شده است که باعث نگرانی و اضطراب عمومی قابل توجهی شده است،" او گفت.

یک سرور باز مکالمات هوش مصنوعی مهاجم را افشا کرد

کراوداسترایک یافته‌های خود را در 7 اکتبر منتشر کرد. دایرکتوری‌های باز بر روی سرورهای تحت کنترل مهاجم تاریخچه‌هایی از کلود کد، دستیار کدنویسی هوش مصنوعی آنتروپیک، به همراه فایل‌های پیکربندی را نگه‌داری می‌کردند.

"تحلیل دایرکتوری‌های باز تحت کنترل بازیگران تهدید، تاریخچه‌های جلسه کلود کد، فایل‌های پیکربندی ARTEX و فایل‌های حافظه کلود را کشف کرد و بینش مستقیمی به روش‌شناسی عملیاتی و ابزارهای بازیگر تهدید ارائه داد،" در گزارش آمده است.

بر اساس گزارش، مهاجم با ARTEX، یک ابزار تست نفوذ عامل باز توسعه یافته در چین، کار کرده است.

یک سرور مستقر در هنگ کنگ به عنوان زیرساخت اصلی مهاجم عمل کرده است. یک آدرس IP نمونه ARTEX را اجرا کرد که کراوداسترایک می‌گوید احتمالاً پشت حملات کره‌ای بوده است.

کراوداسترایک گفت که نمونه ARTEX از مدل هوش مصنوعی DeepSeek v4.1-flash به عنوان مدل اصلی خود استفاده کرده است. مهاجم همچنین از GLM-5.3 هوش مصنوعی Zhipu و Grok 4.6 xAI در سایر جلسات کلود کد استفاده کرده است.

DeepSeek همچنین در گزارش اوت TeamT5 درباره هکرهای چینی ذکر شده است. این شرکت تایوانی دریافت که گروه‌های مرتبط با دولت پس از پذیرش DeepSeek و هوش مصنوعی منبع باز، حجم حملات خود را دو برابر کرده‌اند.

مهاجم درباره بازارهای تلگرام پرسید

در کنار عملیات ARTEX، مهاجم از کلود پرسید که بازیگران تهدید معمولاً داده‌های نقض شده کره‌ای را کجا می‌فروشند. همان کاربر خواستار کمک برای پیدا کردن گروه‌های تلگرام کره‌ای بود که چنین داده‌هایی را می‌فروشند.

کراوداسترایک هیچ گروهی را پشت این کمپین نام نبرده است. این شرکت با اطمینان متوسط ارزیابی کرد که بازیگر احتمالاً یک سخنگوی چینی با انگیزه مالی است. این دیدگاه بر اساس ARTEX و درخواست‌های به زبان چینی است.

یک درخواست رزومه ممکن است به هکر اشاره کند

در یک جلسه دیگر، کاربر از کلود خواست تا یک رزومه محقق امنیتی بنویسد که نتایج ARTEX را به نمایش بگذارد. درخواست شامل یک نام کاربری تلگرام، سن 26 سال و یک مکان در مائومینگ، گوانگدونگ بود.

کراوداسترایک گفت که جزئیات احتمالاً به مهاجم تعلق دارد اما نمی‌توان به طور قطعی به آنها نسبت داد. این شرکت همچنین اشاره کرد که مهاجم ابتدا یک تاریخ تولد 2007 را وارد کرده است.

همان نام کاربری تلگرام در جلسات کلود کد که به دنبال نقص‌های یک بازار هدیه NFT مبتنی بر تلگرام بودند، ظاهر شد.

"در حالی که این فعالیت به یک دشمن نام‌گذاری شده نسبت داده نشده است، بازیگر تهدید احتمالاً یک سخنگوی چینی و با انگیزه مالی است،" کراوداسترایک اضافه کرد.

کراوداسترایک گفت که ابزارهای هوش مصنوعی می‌توانند به یک بازیگر با انگیزه مالی کمک کنند تا در یک بازه زمانی کوتاه چندین نفوذ را انجام دهد. قبلاً، آنتروپیک نیز گفته بود که هوش مصنوعی اکنون وظایف حمله پیشرفته را برای هکرهای کم‌مهارت انجام می‌دهد.

کراوداسترایک انتظار دارد که مهاجمان به آزمایش با ابزارهای هوش مصنوعی ادامه دهند. این شرکت یکی از بیش از 100 شرکتی بود که نامه‌ای در اوت امضا کرد و هشدار داد که حملات سایبری با توانایی هوش مصنوعی افزایش خواهد یافت.