Herramienta de pentest agéntico ARTEX golpeó bancos surcoreanos

Un operador no estatal combinó una herramienta de pentesting open source con varios LLM comerciales para atacar bancos surcoreanos. El costo de entrada bajó, no la novedad técnica — y ya circula un fork listo para otro idioma.

Qué pasó

CrowdStrike identificó la campaña a través de directorios abiertos en una IP de Hong Kong que exponían historiales de sesión de Claude Code, archivos de memoria de Claude y configuraciones de ARTEX. Un segundo servidor, en 38.244.50[.]120, alojaba la instancia de ARTEX en el puerto 18899. La configuración usaba DeepSeek v4.1-flash como modelo principal, con GLM-5.3 de Z.ai y Grok 4.6 como respaldo, y el tráfico pasaba por un dominio — xcai[.]pro — que CrowdStrike identifica como probable proxy o revendedor de API de LLM.

ARTEX es, según reportes de prensa citados por CSA, un sistema de pentesting multiagente: un agente planificador descompone el objetivo en tareas y agentes trabajadores las ejecutan con herramientas reales (comandos de shell, peticiones HTTP, escaneo de puertos), compartiendo hallazgos entre sí. Fue publicado por un desarrollador identificado solo con el alias Autumn-27, y tras hacerse pública la campaña el proyecto pasó a código cerrado. Un fork en coreano bajo licencia AGPL-3.0 apareció en GitHub el 8 de octubre — un dato de fuente secundaria que CSA no verifica de forma independiente, pero que ilustra el problema: una copia ya distribuida no desaparece porque el original se cierre.

CrowdStrike nombra dos sistemas comprometidos a modo de ejemplo: un servicio de consulta de estado de préstamos y un sistema de soporte móvil para empleados. No hay detalle público del vector de entrada inicial en ninguno de los dos casos, y CSA advierte explícitamente que no hay que tratar esos dos ejemplos como el límite de lo que el operador pudo hacer.

La cifra de víctimas es inconsistente entre fuentes y no está conciliada. Prensa surcoreana nombra a Shinhan Bank (cerca de 25.000 clientes afectados, con nombre, teléfono, renta anual y límite de crédito expuestos), KB Kookmin (119), Hana (89), BNK Busan y Yegaram Savings Bank, con Woori Bank y NH NongHyup registrando intentos sin pérdida de datos confirmada. Otra fuente, citando Yonhap y Seoul Economic Daily, habla de siete firmas afectadas y 40.000 personas en el sector financiero secundario, y señala que el presidente Lee Jae Myung ordenó una investigación gubernamental el 6 de octubre. CrowdStrike mismo dice que el número de organizaciones afectadas no está confirmado y no entrega volumen de exfiltración. Tratamos estas cifras como reportadas por prensa, no como dato verificado.

Sobre atribución: CrowdStrike vincula la actividad a un operador presuntamente de habla china por el origen del desarrollo de la herramienta y prompts en chino encontrados en las sesiones, pero aclara que un identificador de Telegram hallado en las sesiones no puede vincularse de forma definitiva al operador — y la persona asociada a ese identificador negó participación. Las autoridades surcoreanas describen el involucramiento de IA como una posibilidad bajo investigación, no una atribución cerrada, aunque parte de la cobertura de prensa la presentó de forma más categórica de lo que la evidencia pública permite.

Por qué importa acá

No hay entidad chilena mencionada en este caso y no corresponde forzar una bajada local donde no la hay. El ángulo que sí traslada es estructural: la banca chilena opera el mismo tipo de superficie que resultó expuesta en Corea — aplicaciones de consulta para socios o canales de soporte móvil para empleados, construidas por conveniencia operativa, fuera de la arquitectura de autenticación principal del canal de clientes, y típicamente con menos pruebas que el canal transaccional. Eso no es un hallazgo técnico nuevo; es un patrón conocido que una herramienta agéntica automatiza a escala.

Tres implicancias concretas para una organización financiera o un OIV en Chile:

• Gobernanza del dato de reporte. Si una entidad clasificada como Operador de Importancia Vital bajo la Ley 21.663 sufriera un incidente de disponibilidad o integridad comparable, nace el deber de reportar a ANCI. No citamos un plazo específico porque no corresponde a este caso — no hay víctima chilena — pero el ejercicio de mapear *qué sistemas propios calzan con el patrón* (portal de socios, canal de empleados, consulta externa) es gobernanza que se hace antes del incidente, no después.
• Ley 21.719 y minimización de datos. Los campos expuestos en el caso surcoreano — renta, límite de crédito — son exactamente el tipo de dato financiero que la nueva ley de protección de datos personales trata con estándar más alto. Una revisión de qué devuelve cada servicio de consulta expuesto, y si necesita devolver todo eso, es una mitigación barata y aplicable hoy.
• El costo de entrada bajó para todos, no solo para Corea. El fork en coreano es la prueba de que una herramienta agéntica de pentest se puede localizar para un idioma y mercado específico en días. Si eso ocurre con un fork en español orientado a banca latinoamericana, el tiempo entre que un servicio queda expuesto y recibe su primer intento adversarial se va a acortar. Esa es una evaluación de confianza media de Vantis: la alternativa razonable es que el costo de desarrollo de un fork regional sea mayor al que asumimos y no se materialice en el corto plazo; lo que la confirmaría es la aparición pública de un fork o derivado orientado a español o portugués.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1583.003 — CrowdStrike mapea así la adquisición de los servidores en Hong Kong usados para alojar ARTEX y los directorios expuestos.
• T1588.007 — Cubre tanto la adopción de ARTEX como framework ya construido como el uso de múltiples backends de LLM (DeepSeek, GLM, Grok) a través de un revendedor.
• T1090 — El dominio xcai[.]pro opera como revendedor/proxy de API de LLM, ocultando qué cuentas y modelos usa realmente el operador — complica tanto la detección como la atribución.
• MAESTRO-L4 — Los directorios abiertos que expusieron historiales de sesión de Claude Code y archivos de memoria son una falla de higiene en la capa de despliegue del propio sistema agéntico del atacante — el mismo tipo de error que cometería un defensor que despliega agentes sin controlar su superficie de almacenamiento.

38.244.50[.]120
xcai[.]pro

title: Systematic Uniform-Paced Enumeration Against Exposed Lookup Service
id: 9d4c2e71-5a8b-4f13-b6e2-7c1f0a3d9e45
status: experimental
description: |
  Deteccion conductual, no basada en firmas ni IOC. Busca el patron reportado por CSA/CrowdStrike en la campana ARTEX: enumeracion sistematica y con espaciado parejo entre peticiones contra un servicio de consulta o portal secundario (socios, empleados), compatible con reconocimiento automatizado por un agente de IA en lugar de uso humano normal. No existe firma publicada para este patron; se entrega como hipotesis de deteccion a calibrar contra la linea base de trafico propia antes de pasar a modo de bloqueo.
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-artex-agentic-pentest-tool-korean-banks-20/
logsource:
  category: webserver
  product: waf
detection:
  sel_target:
    http_path|contains:
      - '/consulta'
      - '/lookup'
      - '/partner'
      - '/api/'
  sel_volume:
    request_count_per_client_per_minute|gte: 30
  sel_param_variation:
    distinct_param_values_per_client|gte: 20
  condition: sel_target and sel_volume and sel_param_variation
falsepositives:
  - Trabajos batch legitimos de integracion o monitoreo sintetico que consultan el mismo endpoint de forma repetida.
  - Escaneres de vulnerabilidad autorizados ejecutados por el propio equipo de seguridad sin excepcion registrada.
level: medium
tags:
  - attack.reconnaissance
  - attack.t1595.002
  - attack.t1588.007

title: Sustained Outbound Calls to Unapproved LLM API or Reseller Endpoints
id: 1f6b8d32-9e40-4ac7-9d15-2b7e4f8a0c91
status: experimental
description: |
  Deteccion conductual. Busca trafico de egreso sostenido y estructurado desde un host o segmento sin motivo legitimo conocido hacia dominios de proveedores de modelos de IA o revendedores/proxies de API no incluidos en la lista de aprobados de la organizacion. Es la contraparte defensiva del hallazgo de CSA sobre el uso de un revendedor de API (xcai.pro en el caso ARTEX) como capa de infraestructura ofensiva. Ajustar la lista de dominios aprobados al entorno propio antes de habilitar en modo bloqueo.
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-artex-agentic-pentest-tool-korean-banks-20/
logsource:
  category: proxy
  product: firewall
detection:
  sel_llm_like:
    dst_domain|contains:
      - 'api.openai'
      - 'anthropic'
      - 'deepseek'
      - 'z.ai'
      - 'x.ai'
  sel_not_approved:
    dst_domain|contains:
      - 'proxy'
      - 'reseller'
      - 'relay'
  sel_volume:
    connection_count_per_host_per_hour|gte: 50
  condition: (sel_llm_like or sel_not_approved) and sel_volume
falsepositives:
  - Integraciones legitimas con proveedores de IA desde servidores de aplicacion autorizados; excluir por lista de hosts conocidos.
  - Uso corporativo aprobado de un revendedor o gateway de API de IA contratado formalmente.
level: medium
tags:
  - attack.resource-development
  - attack.t1090
  - attack.t1588.007

DeviceNetworkEvents
| where RemoteUrl has_any ("openai", "anthropic", "deepseek", "z.ai", "x.ai", "proxy", "reseller")
| summarize ConnCount = count(), DistinctDomains = dcount(RemoteUrl) by DeviceName, bin(Timestamp, 1h)
| where ConnCount >= 50
| order by ConnCount desc

index=waf OR index=api_gateway (uri_path="*/consulta*" OR uri_path="*/lookup*" OR uri_path="*/partner*")
| bin _time span=1m
| stats count AS req_count, dc(param_values) AS distinct_params by src_ip, _time, uri_path
| where req_count >= 30 AND distinct_params >= 20
| sort -req_count

Fuentes

• Cloud Security Alliance (CSA Labs)ARTEX: Open-Source Agentic Pentest Tool Turned on Korean Banks · 2026-10-10
• CrowdStrikeUnknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance · 2026-10-07
• The Hacker NewsARTEX AI Pentesting Tool Used in Data Theft Attacks on South Korean Financial Firms · 2026-10-01
• The Korea TimesEXPLAINER: How AI emerged as new threat in Korea's bank hacking crisis · 2026-10-07
• Let's Data Science (citando Yonhap y Seoul Economic Daily)South Korea Orders Probe Into Bank Data Breaches · 2026-10-01
• Hermes AI NewsARTEX Korean fork surfaces after AI pentesting tool hit seven banks · 2026-10-08
• Cloud Security Alliance (CSA Labs)LLM-Orchestrated Attack Chain Research Note (GTG-1002) · 2026-05-27

Relacionado