ผู้ใช้ ARTEX ที่เจาะสถาบันการเงินเกาหลีใต้ทิ้งเซิร์ฟเวอร์เปิดโล่งอีกเครื่อง — Hunt.io พบ Claude Code ที่ถูกเปลี่ยนเส้นทางไป DeepSeek, skill 19 ชุด และไฟล์ credential ของผู้โจมตี

สรุปสั้น

ARTEX คือ เฟรมเวิร์กทดสอบเจาะระบบแบบโอเพนซอร์สจากจีนที่ใช้เอเจนต์ AI ทำงานเอง ช่วงปลายกันยายนถึงต้นตุลาคม 2569 สถาบันการเงินเกาหลีใต้ 7 แห่งถูกขโมยข้อมูลผ่านระบบที่เปิดสู่อินเทอร์เน็ต กระทบราว 66,000-67,000 คนและบริษัทราว 2,200 แห่ง บริษัท CrowdStrike ประเมินด้วยความเชื่อมั่นระดับกลางว่าผู้อยู่เบื้องหลัง คือ ผู้ปฏิบัติการรายเดียวที่พูดจีนและหวังเงิน (2026/10/055 ) และ Recorded Future เคยไล่รอยการเตรียมการจากไดเรกทอรีเปิดของผู้โจมตีมาแล้ว (2026/10/174 ) ล่าสุดบริษัท Hunt.io ไล่ต่อจากเซิร์ฟเวอร์ที่รายงานไว้ และพบไดเรกทอรีเปิดอีกแห่งบนเซิร์ฟเวอร์ฮ่องกงที่ผู้โจมตีใช้เป็นจุดกระโดด ซึ่งเก็บไฟล์ทำงานไว้มากกว่าที่เคยเห็น

ไฟล์ชี้ว่าผู้โจมตีรัน Claude Code เวอร์ชัน 2.1.221 และเปิดใช้งาน 510 ครั้งตั้งแต่ 4 สิงหาคม 2569 แต่ไม่ได้คุยกับ Anthropic เลย เพราะคำขอทั้งหมดถูกส่งผ่านตัวแทนขาย API ไปยังโมเดล DeepSeek นอกจากนี้ยังมี skill เฉพาะ 19 ชุดที่ใช้รวม 147 ครั้ง ไฟล์ credential ของผู้โจมตีเอง บริการ proxy และชุดโจมตี JNDI ที่เตรียมไว้ Hunt.io ยังสร้างวิธีค้นหาเซิร์ฟเวอร์ ARTEX ซึ่งพบกว่า 1,300 เครื่องใน 30 ประเทศ ข้อมูลนี้ช่วยให้ทีมป้องกันไล่ล่าได้ องค์กรควรนำ IoC ไปค้นในล็อก และปิดบริการจัดการที่เปิดสู่อินเทอร์เน็ต

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 5 พฤศจิกายน 2569 ว่ารายงานสาธารณะก่อนหน้าระบุเซิร์ฟเวอร์หลักที่ 38.244.50[.]120 และโดเมนตัวแทนขาย xcai[.]pro ที่ใช้เข้าถึงโมเดล AI จากนั้นบริษัท Genians ยืนยันผลเดียวกัน และหน้า GitHub กับ Docker image ทางการของ ARTEX ถูกลบเมื่อ 11 ตุลาคม แม้สำเนายังอยู่ออนไลน์ นักวิจัย Hunt.io ระบุว่า IoC สาธารณะเป็นแค่ส่วนหนึ่งของภาพ เมื่อไล่ต่อจากเซิร์ฟเวอร์ที่รู้จัก ก็พบไดเรกทอรีเปิดใหม่ที่ 23.248.226[.]250 ซึ่งเป็นเซิร์ฟเวอร์จุดกระโดดในฮ่องกง

ข้อมูลที่หลุดจากเหตุในเกาหลีใต้มีทั้งชื่อ อาชีพ รายได้ และข้อมูลสินเชื่อ ไฟล์ที่พบยังสอดคล้องกับผลของ CrowdStrike ที่ว่าผู้โจมตีใช้ทั้ง DeepSeek, GLM และ Grok ต่อมาตำรวจเกาหลีใต้จับผู้ต้องสงสัยในคดีแยกที่เกี่ยวกับ ARTEX ด้วย (2026/10/288 ) แต่การใช้เครื่องมือเดียวกันไม่ได้พิสูจน์ว่าเป็นคนกลุ่มเดียวกัน ข้อจำกัดของหลักฐาน คือ Hunt.io ระบุว่าเครื่องมืออื่นในไดเรกทอรี เช่น สคริปต์ศูนย์ซื้อขายคริปโตและ exploit ยกสิทธิ์ Linux ยังไม่ยืนยันว่าเกี่ยวกับเหตุเจาะธนาคาร ในช่วงเดียวกัน นักวิจัยอีกรายยังพบ Docker image ของ ARTEX ฉบับก๊อปที่ถูกฝังแบ็กดอร์ (2026/11/037 )

วิธีการโจมตี

Claude Code ที่ถูกเปลี่ยนเส้นทางไป DeepSeek — ไฟล์สถานะบนเซิร์ฟเวอร์ฮ่องกงแสดงว่าผู้โจมตีใช้ Claude Code เป็นหน้าจอสั่งงาน แต่ติดตั้งตัวกำหนดเส้นทางชื่อ Claude Code Router ร่วมกับสคริปต์ Python เล็ก ๆ ที่ส่งทุกคำขอผ่าน xcai[.]pro ไปยัง DeepSeek สคริปต์ตัวหนึ่งมีบันทึกภาษาจีนที่อธิบายเส้นทางนี้ด้วยคำพูดของผู้โจมตีเอง ไฟล์อื่นมีคีย์ของ Zhipu AI สำหรับโมเดล GLM และอุโมงค์ชื่อ grok2api วิธีนี้ให้ผู้โจมตีใช้ความสามารถเอเจนต์ของ Claude Code กับโมเดลราคาถูกที่ไม่มีการตรวจการใช้งานแบบผู้ให้บริการต้นทาง

skill เฉพาะ 19 ชุดสำหรับทุกขั้นของการโจมตี — skill คือ ชุดคำสั่งที่เอเจนต์ AI นำกลับมาใช้ซ้ำได้ ผู้โจมตีมี 19 ชุดที่ใช้รวม 147 ครั้ง ครอบคลุมการสำรวจเป้าหมาย รีวิวโค้ด ทดสอบเว็บ ตรวจการข้ามไฟร์วอลล์ วิเคราะห์แอป Android และควบคุมโทรศัพท์บนคลาวด์ skill หนึ่งทดสอบตรรกะการชำระเงิน และมีไฟล์ใกล้กันที่เก็บบัญชีทดสอบ 3 บัญชีของบริการฝากเงิน ซึ่งชี้ว่าผู้โจมตีน่าจะมองหาช่องโหว่ insecure direct object reference (IDOR) คือ ช่องโหว่ที่ให้ผู้ใช้ดูหรือแก้ข้อมูลของคนอื่นได้แค่เปลี่ยนเลข ID ในคำขอ

ไฟล์ credential และอุโมงค์ SSH ของผู้โจมตี — Hunt.io พบไฟล์ชื่อ .secrets และสำเนาสำรอง มีคอมเมนต์ภาษาจีนว่าเป็น “แหล่ง credential เดียว” และเตือนไม่ให้วางรหัสผ่านลงในเซสชัน สคริปต์ 3 ตัวใช้ล็อกอิน root เดียวกันรักษาอุโมงค์ SSH แบบย้อนกลับ และคัดลอกไฟล์หน่วยความจำของ AI ไปเก็บบนเซิร์ฟเวอร์จุดกระโดด

เครื่องมือเสริม: proxy และชุดโจมตี JNDI — Hunt.io พบบริการ proxy ที่ 154.201.79[.]246:443 ซึ่งให้ IP ขาออกต่างกัน 79 ค่าจาก 100 ตัวตนแรกที่ทดสอบ ช่วยกระจายการสแกนไม่ให้ถูกบล็อกจาก IP เดียว และพบการตั้งค่า JNDI กับ LDAP สำหรับรันโค้ดจากระยะไกล พร้อม DNS callback ที่ใช้ยืนยันว่าโจมตีสำเร็จ

ร่องรอยที่ใช้ล่าเซิร์ฟเวอร์ ARTEX — Hunt.io สร้างวิธีค้นหา 3 แบบ การค้นจากใบรับรอง TLS ได้ 19 IP การค้นจากแท็กมัลแวร์ได้ 1,303 IP และการค้นจากชื่อหน้าคอนโซลได้ราว 1,300 IP ส่วนการค้นไดเรกทอรีเปิดได้ 280 ผลลัพธ์ แท็กครอบคลุม 30 ประเทศ นำโดยสหรัฐฯ ตามด้วยจีนและฮ่องกง

ผลกระทบ

ผู้ที่ได้รับผลโดยตรง คือ ลูกค้าของสถาบันการเงินเกาหลีใต้ 7 แห่งราว 66,000 คนและบริษัทราว 2,200 แห่ง ที่ข้อมูลรายได้และสินเชื่อหลุด ซึ่งเสี่ยงต่อการถูกใช้หลอกลวงทางการเงินต่อ ส่วนข้อค้นพบใหม่ของ Hunt.io สำคัญต่อทีมป้องกันในวงกว้าง เพราะแสดงให้เห็นชัดว่าผู้โจมตีรายเดียวประกอบเครื่องมือ AI ราคาถูกเข้าด้วยกันจนทำงานแทนทีมเจาะระบบได้ และ skill อย่างการทดสอบตรรกะการชำระเงินบอกว่าเป้า คือ ช่องโหว่เชิงธุรกิจที่สแกนเนอร์ทั่วไปจับไม่ได้

จำนวนเซิร์ฟเวอร์ ARTEX กว่า 1,300 เครื่องใน 30 ประเทศบอกว่าเฟรมเวิร์กนี้แพร่ไปไกลกว่าเหตุเดียว แม้ไม่ใช่ทุกเครื่องเป็นของผู้โจมตี สถาบันการเงินที่มีแอปและ API เปิดสู่อินเทอร์เน็ตจึงควรถือว่าตัวเองอยู่ในรัศมีของเครื่องมือประเภทนี้ อีกด้านหนึ่ง ความผิดพลาดของผู้โจมตีที่เปิดไดเรกทอรีทิ้งไว้ถึงสองครั้ง แสดงว่าผู้ใช้เครื่องมือ AI ไม่ได้รอบคอบเสมอไป และการล่าโครงสร้างพื้นฐานยังได้ผล

คำแนะนำ

• ทำทันที: ค้นล็อก firewall, proxy และ DNS ย้อนหลังหาการเชื่อมต่อกับ IP และโดเมนในตาราง IoC โดยเฉพาะ 38.244.50[.]120, 23.248.226[.]250 และ 154.201.79[.]246
• ทำทันที: ปิดบริการจัดการและหน้าผู้ดูแลที่เปิดสู่อินเทอร์เน็ต ให้เข้าได้ผ่าน VPN หรือ allowlist เท่านั้น
• ตรวจว่าโดนแล้วหรือยัง: เฝ้าดูทราฟฟิก LDAP หรือ JNDI ขาออกที่ผิดปกติ DNS callback ไปโดเมนอย่าง dnslog[.]cn การดาวน์โหลดสคริปต์จากภายนอก และการเชื่อมต่อขาออกที่ไม่คาดคิดจากเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต
• ตรวจตรรกะธุรกิจ: ทดสอบ API ชำระเงินและฝากเงินว่าตรวจสิทธิ์ความเป็นเจ้าของข้อมูลทุกคำขอ เพื่อปิดช่อง IDOR ที่ผู้โจมตีกำลังมองหา
• ถ้าพบร่องรอย: รีเซ็ตรหัสผ่าน SSH และหมุน API key credential ของ proxy และ token ที่อาจอยู่ในไฟล์บนเซิร์ฟเวอร์ที่เปิดเผย
• ระยะยาว: จำกัดการเข้าถึงเกตเวย์โมเดล AI ขององค์กร และนำวิธีค้นหาของ Hunt.io เช่น ใบรับรอง TLS และชื่อหน้าคอนโซล ARTEX ไปตั้งการแจ้งเตือนใน threat intelligence

Indicators of Compromise (IoCs)

หมายเหตุ: IP และโดเมน defang แล้ว (เช่น [.]) ตามต้นฉบับ

แหล่งอ้างอิง

• ARTEX Hackers Expose Their Own Servers, Revealing AI Tools Behind South Korean Bank Breaches — Cyber Security News
• ARTEX South Korea bank infrastructure — Hunt.io