Un pirate soupçonné d'avoir attaqué plusieurs banques sud-coréennes à l'aide de l'intelligence artificielle a laissé ses conversations avec Claude accessibles sur Internet. Une découverte qui a permis aux chercheurs de CrowdStrike de reconstituer ses activités.
Depuis fin septembre, plusieurs établissements financiers sud-coréens ont été victimes d'intrusions ayant entraîné des vols de données. Dans une banque, un service de suivi des demandes de prêt destiné aux courtiers aurait été compromis. Dans une autre, l'attaquant aurait accédé à un système de travail sur mobile utilisé par les employés. En enquêtant sur ces attaques, les chercheurs de CrowdStrike ont découvert le recours à ARTEX, un outil capable d'automatiser des tests d'intrusion à l'aide de modèles d'intelligence artificielle. Mais leurs investigations ont aussi révélé une imprudence assez étonnante de la part du pirate.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Un agent IA pour automatiser les cyberattaques
Développé en Chine et initialement distribué sous licence open source, ARTEX permet de confier à l'intelligence artificielle une partie du travail habituellement réalisé par un spécialiste en cybersécurité. Recherche de vulnérabilités, vérification de leur exploitabilité, enchaînement des opérations : le logiciel s'appuie sur des modèles de langage pour mener ces tâches sans solliciter son utilisateur à chaque étape. Conçu pour évaluer la sécurité de systèmes informatiques, il peut également être détourné à des fins malveillantes.
Dans cette campagne, le pirate utilisait principalement DeepSeek v4.1-flash pour faire fonctionner ARTEX. Il avait également recours à Claude Code, un environnement permettant de réaliser des tâches informatiques avec l'aide de l'IA, et utilisait deux autres modèles, GLM-5.3 et Grok 4.6, lors de sessions complémentaires. Les fichiers analysés par CrowdStrike témoignent ainsi d'une activité soutenue contre plusieurs établissements financiers entre fin septembre et début octobre, sans permettre de déterminer quelle part des intrusions a été exécutée de manière autonome.
En examinant les infrastructures utilisées, les chercheurs sont remontés jusqu'à deux serveurs contrôlés par le pirate. Le premier hébergeait ARTEX, tandis que le second, situé à Hong Kong, servait de point central à ses opérations. Plusieurs répertoires y étaient accessibles publiquement, contenant des documents particulièrement compromettants pour leur propriétaire.
Des conversations avec Claude bien trop bavardes
Car outre des configurations d'ARTEX et des instructions rédigées en chinois pour guider les opérations, les chercheurs y ont en effet retrouvé les historiques des sessions Claude Code du cybercriminel. Il y avait interrogé l'IA sur les circuits de revente des données volées en Corée du Sud, sollicité son aide pour trouver des groupes Telegram spécialisés dans ce commerce et même demandé la rédaction d'un CV de chercheur en cybersécurité, en y intégrant ses activités avec ARTEX. Pour cela, il avait communiqué plusieurs informations personnelles, dont un nom, un numéro de téléphone, un identifiant Telegram, une formation universitaire et une localisation dans la province chinoise du Guangdong.
Depuis la publication de cette enquête, le développeur d'ARTEX a annoncé l'arrêt de la distribution publique et de la maintenance de son logiciel, condamnant son utilisation à des fins illégales. Le projet a également été retiré de GitHub, sans que cette décision empêche les versions déjà téléchargées de continuer à circuler.
