ผู้ใช้ ARTEX ที่เจาะสถาบันการเงินเกาหลีใต้ทิ้งเซิร์ฟเวอร์เปิดโล่งอีกเครื่อง — Hunt.io พบ Claude Code ที่ถูกเปลี่ยนเส้นทางไป DeepSeek, skill 19 ชุด และไฟล์ credential ของผู้โจมตี
Hunt.io พบไดเรกทอรีเปิดบนเซิร์ฟเวอร์ฮ่องกงของผู้โจมตีที่ใช้ ARTEX เจาะสถาบันการเงินเกาหลีใต้ 7 แห่งช่วง ก.ย.-ต.ค. 2569 ไฟล์ชี้ว่าผู้โจมตีเปิด Claude Code 510 ครั้ง แต่ส่งคำขอทั้งหมดผ่านตัวแทนขาย API ไปยัง DeepSeek และมี skill เฉพาะ 19 ชุดรวมถึงการทดสอบตรรกะการชำระเงิน Hunt.io ยังพบบริการ proxy ชุดโจมตี JNDI และไฟล์ credential ของผู้โจมตีเอง และเซิร์ฟเวอร์ ARTEX กว่า 1,300 เครื่องใน 30 ประเทศ องค์กรควรนำ IoC ไปค้นในล็อกและปิดบริการจัดการที่เปิดสู่อินเทอร์เน็ต