Ce que CrowdStrike a trouvé
CrowdStrike Intelligence a publié le 7 octobre une analyse d’une campagne contre des organisations financières sud-coréennes, menée de fin septembre à début octobre. L’outil au centre est ARTEX, que la société décrit comme un outil agentique de test d’intrusion open source récemment publié, développé en Chine.
La campagne n’est attribuée à aucun adversaire nommé. CrowdStrike estime avec une confiance modérée que l’opérateur est sinophone et motivé par l’appât du gain, au vu de l’outillage développé en Chine et des invites en chinois. Le nombre d’organisations touchées reste non confirmé.
Comment cela a été découvert
Pas par une détection. Par un répertoire ouvert.
L’opérateur utilisait deux serveurs : une IP à Hong Kong comme infrastructure principale, et une adresse distincte hébergeant l’instance ARTEX. L’analyse de répertoires ouverts contrôlés par l’attaquant sur l’adresse hongkongaise a exposé des historiques de session Claude Code, des fichiers mémoire de Claude et des fichiers de configuration d’ARTEX, dont une invite de test d’intrusion en chinois. Neuf IP de proxy ont servi pendant l’activité ARTEX.
Les journaux montrent aussi l’opérateur demandant à un modèle où se revendent d’ordinaire les données volées en Corée, et de l’aide pour trouver des groupes Telegram de vente de données coréennes. Une session réclamait un CV de chercheur en sécurité mettant en avant les résultats d’ARTEX. CrowdStrike indique que les données personnelles de cette invite se rapportent probablement à l’opérateur, sans pouvoir l’établir de façon définitive.
Quels modèles, et dans quel rôle
Cela compte, car la couverture a brouillé ce point. L’instance ARTEX tournait sur DeepSeek v4.1-flash comme moteur principal, probablement atteint via un proxy et revendeur d’API. Des sessions Claude Code s’exécutaient en parallèle, et GLM-5.3 de Zhipu AI ainsi que Grok 4.6 apparaissaient dans des sessions supplémentaires.
Ce n’est donc pas le modèle d’un fournisseur qui mène des intrusions. C’est un cadre agentique open source avec un modèle chinois bon marché en dessous et plusieurs assistants commerciaux en périphérie — moins spectaculaire, et plus difficile à encadrer.
Les cibles
Selon la presse sectorielle citée par CrowdStrike, le service de suivi des dossiers de prêt d’une banque, utilisé par des courtiers, a été violé, et le système mobile d’assistance au travail des salariés d’une autre banque a été compromis. L’activité a abouti à une exfiltration de données.
La réponse du développeur
Le développeur d’ARTEX, identifié comme Autumn-27, a déclaré que les attaques n’avaient rien à voir avec lui et que l’outil avait été conçu pour l’apprentissage et la recherche, afin d’aider les organisations à tester le risque de sécurité sur des actifs autorisés, a rapporté The Hacker News. Le projet “ne sera plus mis à jour et passera en code fermé”, sans nouvelle version ni maintenance.
Cela ferme le dépôt. Cela ne récupère pas les copies déjà téléchargées, et un cadre agentique est surtout fait d’invites et d’orchestration, pas d’un binaire qu’il faut mettre à jour.
À surveiller
L’évaluation de CrowdStrike est que l’outillage IA a permis à un acteur vénal de mener plusieurs intrusions en peu de temps, et que les adversaires continueront d’expérimenter. La version vérifiable de cette affirmation, c’est l’intervalle entre intrusions dans la prochaine campagne de ce type.
