ARTEX 情报站English

时间线

韩国金融机构第一波入侵（7 家）

事件日期2026-09-27 至 2026-10-04
披露日期2026-10-01
类型数据窃取
可信度已确认
ARTEX 认定来源点名 ARTEX
国家和地区韩国
行业银行、储蓄银行、金融

已知最早攻击日是 9-27。第一次向当局报告是 9-30（新韩）。10-01 到 10-04 陆续公开。攻击面主要是对外的边缘应用，手段包括 SQL 注入和认证绕过。金融保安院官员称不是无人干预的完全自主攻击。

已确认受害

  • 新韩银行
  • KB 国民银行
  • 韩亚银行
  • BNK 釜山银行
  • Yegaram 储蓄银行
  • 现代资本
  • Welcome 储蓄银行

目标

  • 友利银行（称已拦截）
  • NH 农协银行（称已拦截）

归因

ARTEX 依据
金融委员会 10-04、10-14、11-05 三份新闻稿都没有写 ARTEX。ARTEX 的说法来自匿名金融保安院官员（Herald Business 10-03，范围是新韩）和 CrowdStrike 10-07 报告。CrowdStrike 没有点名受害机构。
攻击者
CrowdStrike：financially motivated，likely Chinese-speaking（中等置信度），未归因到已知团伙。Recorded Future 追踪为 TAG-217。
是否同一攻击者
韩联社 10-04 据当局称 7 家见到同一攻击者 IP；金融委员会 10-14 改为「精查中」，此后没有官方确认。

数字和口径

受害人数约 6.6 万人，约 2,200 家企业记录（Genians，截至 10-04）
受害人数约 6.7 万人（Zscaler 10-14）
受害人数至少 6.8 万人（Recorded Future）
受害人数约 6.8 万（周刊京乡 10-12，7 家）
新韩25,729（Herald Business、国政监查资料）；25,727（CEO Score等）
KB119 人（10-02）；更正为 2,210 人（10-26）
Yegaram 约 4 万（10-02）；约 5 万（10-13）
攻击 IPFSS 19 个、12 国（Financial News 10-06）；28 个、12 国（业内消息）；33 个去重 28 个（Genians）；10 余国 20 余个（WSJ 转述）；CrowdStrike 列 9 个代理 IP
拦截原因（友利）五种说法：入侵防御系统；没有该漏洞；多重认证；运气好；Xint 点检（消息源含厂商）

关联 IoC

类型值角色验证
证书C7A884AFCD7F91408921890D9617BEF6BFAC3DAE992BC25BB9C48C0395A60842TLS certificate on 38.244.50[.]120, issuer organization ARTEX仅来源报告
Docker 镜像artex-local:perf2-20261003Custom image tag仅来源报告
域名api[.]anthropic[.]com合法 LLM 服务，不是攻击者基础设施。只作外联行为线索。共享或合法服务
域名api[.]deepseek[.]com合法 LLM 服务，不是攻击者基础设施。只作外联行为线索。共享或合法服务
域名api[.]x[.]ai合法 LLM 服务，不是攻击者基础设施。只作外联行为线索。共享或合法服务
域名direct[.]xcai[.]proEndpoint in the model-routing configuration平台判定可疑
域名fofoapi[.]com第三方服务，不是攻击者基础设施。共享或合法服务
域名open[.]bigmodel[.]cn合法 LLM 服务，不是攻击者基础设施。只作外联行为线索。共享或合法服务
域名u6ud2s[.]dnslog[.]cnDNS callback hostname in a staged exploitation artifact平台判定恶意
域名xcai[.]prolikely LLM API proxy/reseller平台判定可疑
指纹127.0.0.1:5435local PostgreSQL mapping仅来源报告
指纹ARTEX - 自主渗透测试控制台(자율 침투테스트 콘솔)HTML title on an attack-infrastructure web server (Section 4.2)仅来源报告
指纹ARTEX — 自主渗透测试控制台ARTEX default title仅来源报告
指纹LLM 驱动的自主渗透测试系统控制台(LLM 기반 자율 침투테스트 시스템 콘솔)Meta description仅来源报告
指纹grok2apiGrok bridge service仅来源报告
IP101[.]53[.]80[.]20Proxy IP address平台未判定
IP103[.]248[.]148[.]84Proxy IP address平台未判定
IP124[.]155[.]252[.]63Proxy IP address平台未判定
IP154[.]201[.]79[.]246Proxy IP address平台未判定
IP161[.]8[.]161[.]140Upstream SOCKS proxy平台未判定
IP203[.]160[.]133[.]172Proxy IP address平台判定恶意
IP205[.]214[.]59[.]31Proxy IP address平台未判定
IP209[.]209[.]85[.]38Proxy IP address平台未判定
IP23[.]158[.]220[.]98Proxy IP address平台未判定
IP23[.]248[.]226[.]250Work server平台判定恶意
IP23[.]248[.]226[.]251Work server平台判定恶意
IP23[.]248[.]226[.]252Work server平台判定恶意
IP23[.]248[.]226[.]253Work server平台判定恶意
IP23[.]248[.]226[.]254Work server平台判定恶意
IP23[.]248[.]249[.]90Proxy IP address平台判定恶意
IP38[.]244[.]50[.]120Threat actor-controlled IP address平台判定恶意
文件路径sync-memory.shcustom synchronization script仅来源报告
文件路径tools/project_context_hook.pycontext hook script仅来源报告
文件路径tools/sync-all.shcustom synchronization script仅来源报告
文件路径tools/sync-cc-users.shcustom synchronization script仅来源报告
文件路径xcai-shim.pyprotocol shim仅来源报告
URLhxxp://38[.]244[.]50[.]120:18899/[.]claude/CLAUDE[.]mdClaude Code markdown file仅来源报告
URLhxxps://xcai[.]pro/v1ARTEX model gateway仅来源报告

查看全部 38 条

相关事件

来源（32）