Uma campanha ativa do fim de setembro ao início de outubro de 2026 invadiu organizações financeiras da Coreia do Sul, exfiltrou dados e colocou em campo o ARTEX, ferramenta agêntica de teste de intrusão de código aberto operada com modelos de linguagem. A identificação é do CrowdStrike Intelligence, que reconstruiu a operação a partir de diretórios abertos que o próprio atacante deixou expostos em servidores de sua propriedade. Times de segurança de bancos, corretoras e de qualquer empresa que expõe serviços de consulta na internet devem agir em três frentes, nesta ordem: buscar os indicadores da operação nos logs de rede, fechar diretórios abertos em servidores públicos e revisar as permissões das ferramentas de IA que já executam em ambientes corporativos.
O que a campanha revelou
Segundo relatos da indústria citados no relatório, várias organizações financeiras sul-coreanas sofreram vazamentos a partir do fim de setembro de 2026. Em um banco afetado, o alvo foi um serviço de consulta de andamento de empréstimos usado por corretores. Em outro, o comprometimento atingiu um sistema de suporte ao trabalho móvel de colaboradores. O número total de organizações afetadas seguia sem confirmação no fechamento da análise.
Os ataques contra organizações diferentes apresentaram endereços IP sobrepostos, o que indicou uma única operação por trás dos incidentes. Referências à string ARTEX em arquivos HTML hospedados em um servidor atribuído ao ator foram o primeiro elo entre as intrusões e a ferramenta.
O detalhe que diferencia este caso de um vazamento comum é a origem da evidência: em vez de telemetria das vítimas, a análise partiu de arquivos que o atacante expôs por engano em seus próprios servidores — históricos de sessão do Claude Code, arquivos de configuração do ARTEX e arquivos de memória do agente. É raro um time de inteligência obter acesso direto à metodologia operacional do adversário, e isso permite extrair lições defensivas concretas para qualquer organização.
Como o ataque funcionava
Os históricos de sessão revelaram uma arquitetura de dois servidores. Um endereço com base em Hong Kong operava como infraestrutura principal do atacante; o IP 38.244.50[.]120 hospedava a instância do ARTEX provavelmente responsável pelos ataques coreanos. Nesse servidor, um arquivo CLAUDE.md em um diretório aberto continha um prompt de teste de intrusão em chinês, com instruções sobre como o modelo deveria conduzir a atividade ofensiva.
O backend de IA também ficou registrado nas sessões: a instância do ARTEX usava o DeepSeek v4.1-flash como modelo principal, complementado por GLM-5.3, da Zhipu AI, e por Grok 4.6 em sessões adicionais do Claude Code, com acesso provavelmente intermediado por um revendedor de API. Para ocultar a origem, a operação passava por uma lista de endereços IP de proxy divulgada como indicador de comprometimento.
A motivação apareceu nas próprias perguntas feitas ao modelo: o ator questionou onde grupos criminosos costumam vender dados de vazamentos sul-coreanos e pediu ajuda para localizar grupos de venda no Telegram. Com base no uso da ferramenta de origem chinesa e nos prompts em chinês, o CrowdStrike avalia, com confiança moderada, que se trata de um ator provavelmente falante de chinês e movido por lucro — ainda sem nome conhecido.
TTPs mapeadas no ATT&CK
O CrowdStrike mapeou a operação na matriz do MITRE ATT&CK, e esse mapeamento importa mais do que o caso isolado. A implantação do ARTEX entrou na técnica T1588.007, de obtenção de capacidade de inteligência artificial — o registro formal de que adversários obtêm ferramentas de IA generativa para apoiar técnicas de ataque. A página da técnica no MITRE lista usos que vão de reconhecimento e criação de scripts a engenharia social e já registra campanha em que um adversário obteve acesso ao Claude Code para apoiar operações de intrusão.
| Tática | Técnica | Observável na campanha |
|---|---|---|
| Desenvolvimento de recursos | T1583.003 — Adquirir infraestrutura (VPS) | Servidores dedicados em múltiplos endereços IP |
| Desenvolvimento de recursos | T1588.007 — Obter capacidade de IA | Implantação do ARTEX contra o setor financeiro |
| Comando e controle | T1090 — Proxy | Lista de IPs de proxy usados na operação |
O contexto mostra um padrão em formação, não um episódio isolado. O caso coreano soma-se a outros registros de agentes autônomos do lado ofensivo, como a engenharia reversa assistida por agentes descrita em análise anterior deste portal. A diferença agora é de escala e custo: com uma ferramenta agêntica e acesso a modelos de linguagem, um ator único conduziu múltiplas intrusões em poucos dias.
Sinais para o time defensivo
A evidência pública permite montar uma lista objetiva de busca. Priorize os itens que dependem de logs que você já retém; os demais entram no backlog de telemetria.
- Tráfego de saída ou de borda envolvendo o IP 38.244.50[.]120 e os endereços de proxy divulgados como IOC desde o fim de setembro.
- Diretórios abertos em servidores expostos, em especial caminhos
.claude/e arquivos CLAUDE.md acessíveis sem autenticação. - Históricos de sessão e arquivos de memória de agentes expostos em hosts públicos — o mesmo erro cometido pelo atacante vale como alerta para equipes internas.
- Chamadas de saída a revendedores de API de modelos de linguagem originadas em servidores de aplicação.
- Padrões de acesso anômalos em portais de parceiros, como serviços de consulta para corretores, e em sistemas de suporte ao trabalho móvel.
Ações prioritárias de resposta
Organize a resposta em duas ondas: as ações P1 reduzem a exposição imediata; as P2 fecham a classe de ataque que o caso ilustra.
P1 — contenção e caça
- Bloqueie os IPs de indicador na borda, no firewall de saída e nos proxies, com registro de cada mudança para permitir revisão posterior.
- Inventarie serviços de consulta expostos a parceiros e prestadores; exija autenticação forte, segregação de perfis e limites de taxa nesses portais.
- Faça busca ativa por diretórios abertos e arquivos de configuração de agentes em toda a superfície pública e remova o que não precisa estar acessível.
P2 — fechamento da classe
- Adote lista de permissão de saída nos servidores internos para reduzir a utilidade de proxies (T1090).
- Estabeleça governança para ferramentas de IA agêntica: credenciais dedicadas e de baixo privilégio, execução em ambiente isolado e aprovação humana para ações sensíveis. A documentação de segurança do Claude Code, cujos arquivos aparecem no caso, recomenda sandbox com isolamento de sistema de arquivos e rede para comandos executados pelo agente.
- Monitore canais onde dados de vazamentos são negociados, incluindo os grupos de Telegram citados no caso, para detectar dados da sua organização em venda.
- Prepare o playbook de vazamento com dados de clientes antes de precisar dele, com comunicação e notificações definidas — a janela entre exfiltração e negociação é curta, como mostram episódios recentes de exposição de dados de clientes.