Hacker Gunakan ARTEX AI dan Claude untuk Serang Sejumlah Bank di Korea Selatan
Seorang hacker berbahasa Mandarin dilaporkan menggunakan teknologi artificial intelligence (AI), termasuk framework penetration testing ARTEX AI dan agen Claude, untuk melancarkan serangkaian serangan siber terhadap sejumlah lembaga perbankan di Korea Selatan.
Serangan yang berlangsung sejak akhir September hingga awal Oktober 2026 tersebut menargetkan beberapa institusi keuangan besar, termasuk Shinhan Bank, KB Kookmin Bank, dan Hana Bank. Insiden ini dilaporkan menyebabkan kebocoran data pribadi nasabah, informasi kartu kredit, serta gangguan operasional pada sejumlah sistem perbankan.
Besarnya dampak serangan mendorong pemerintah Korea Selatan menggelar pertemuan darurat dan meminta lembaga keuangan segera memperkuat keamanan infrastruktur teknologi informasi mereka, terutama sistem yang menangani data sensitif nasabah.
Perusahaan keamanan siber CrowdStrike kemudian mengungkap bahwa pelaku memanfaatkan ARTEX AI, sebuah framework agentic penetration testing yang dikembangkan di China dan sebelumnya tersedia sebagai proyek open-source.
CrowdStrike Temukan Infrastruktur Serangan Berbasis AI
Investigasi CrowdStrike berhasil mengidentifikasi infrastruktur yang digunakan pelaku untuk menjalankan aktivitas serangan terhadap sektor keuangan Korea Selatan.
Melalui analisis terhadap sejumlah direktori server yang dapat diakses secara terbuka, peneliti menemukan berbagai file yang mengungkap penggunaan teknologi AI dalam operasi tersebut.
File yang ditemukan mencakup riwayat sesi Claude Code, konfigurasi ARTEX AI, serta file memori Claude yang menyimpan konteks dan instruksi dari aktivitas sebelumnya.
Temuan tersebut memberikan gambaran mengenai bagaimana pelaku mengintegrasikan beberapa large language model (LLM) untuk membantu aktivitas penetration testing dan operasi serangan siber.
Berdasarkan hasil analisis, ARTEX menggunakan DeepSeek v4.1-flash sebagai backend LLM utama, sementara pelaku juga memanfaatkan GLM-5.3 dari Zhipu AI dan Grok 4.6 untuk mendukung sesi Claude Code tambahan.
CrowdStrike menduga akses terhadap DeepSeek dilakukan melalui layanan proxy atau reseller API LLM dengan domain xcai.pro.
Penggunaan beberapa model AI tersebut menunjukkan bahwa pelaku tidak bergantung pada satu layanan saja, melainkan mengombinasikan berbagai kemampuan AI untuk mendukung aktivitasnya.
Peneliti juga menemukan arsitektur infrastruktur yang terdiri dari dua server utama. Salah satunya digunakan sebagai pusat operasional pelaku di Hong Kong, sementara server lainnya menjalankan instance ARTEX yang diduga digunakan dalam serangan terhadap organisasi keuangan Korea Selatan.
Riwayat aktivitas pada kedua server memperlihatkan keterkaitan dengan sejumlah organisasi yang sebelumnya dilaporkan mengalami insiden keamanan.
ARTEX AI Dimanfaatkan untuk Operasi Penetration Testing
ARTEX merupakan framework agentic penetration testing yang dirancang untuk mengintegrasikan kemampuan AI ke dalam proses pengujian keamanan sistem.
Berbeda dari pendekatan penetration testing tradisional yang membutuhkan banyak interaksi manual, framework berbasis agentic AI memungkinkan sebagian proses analisis dan pelaksanaan tugas dilakukan melalui instruksi kepada model bahasa besar.
Dalam konteks keamanan siber, teknologi semacam ini dapat digunakan untuk membantu mengidentifikasi vulnerability, menganalisis konfigurasi sistem, serta mengotomatisasi berbagai tahapan pengujian keamanan.
Namun, kemampuan yang sama juga dapat disalahgunakan oleh threat actor untuk mempercepat operasi ofensif.
Dalam kasus Korea Selatan, CrowdStrike menemukan bukti bahwa ARTEX digunakan bersama Claude Code dan sejumlah LLM lainnya selama periode aktivitas serangan.
Meski demikian, penggunaan AI tidak berarti seluruh tahapan serangan berlangsung sepenuhnya secara otomatis. Investigasi menunjukkan adanya kombinasi antara kemampuan AI dan metode serangan siber konvensional.
CrowdStrike menilai penggunaan teknologi agentic AI dapat membantu pelaku meningkatkan kecepatan operasional dan menjalankan aktivitas terhadap beberapa target dalam periode yang relatif singkat.
Kesalahan Operasional Pelaku Ungkap Petunjuk Identitas
Salah satu temuan menarik dalam investigasi ini adalah kelalaian pelaku dalam mengamankan informasi yang tersimpan pada infrastruktur serangannya sendiri.
Direktori server yang terbuka tidak hanya memperlihatkan konfigurasi tools dan riwayat operasi, tetapi juga menyimpan informasi yang berpotensi mengarah pada identitas pelaku.
Peneliti menemukan bahwa individu tersebut pernah menggunakan Claude untuk membuat resume atau curriculum vitae yang berkaitan dengan aktivitasnya sebagai peneliti keamanan.
Dalam proses pembuatan resume, pelaku memasukkan sejumlah informasi pribadi, termasuk identitas, nomor kontak, akun Telegram, riwayat pendidikan, dan lokasi tempat tinggal.
Berdasarkan informasi tersebut, CrowdStrike menduga individu di balik operasi ARTEX kemungkinan merupakan seorang pria berusia 26 tahun asal China yang pernah menempuh pendidikan di South China University of Technology dan tinggal di Maoming, Provinsi Guangdong.
Namun, terdapat ketidaksesuaian pada data pribadi yang ditemukan. Pelaku sebelumnya sempat memasukkan tanggal lahir pada tahun 2007, yang tidak sesuai dengan klaim usia 26 tahun.
Ketidakkonsistenan tersebut membuat peneliti belum dapat memastikan apakah informasi yang tercantum benar-benar milik individu yang menjalankan serangan.
CrowdStrike menegaskan bahwa bukti yang tersedia belum cukup untuk mengidentifikasi pelaku secara definitif.
Selain itu, meskipun aktivitas serangan menunjukkan indikasi penggunaan bahasa Mandarin dan tools yang dikembangkan di China, temuan tersebut tidak dapat dijadikan dasar untuk menghubungkan operasi ini dengan pemerintah atau kelompok tertentu.
Pelaku Gunakan Claude untuk Mencari Pembeli Data Curian
Analisis terhadap riwayat percakapan Claude Code juga mengungkap indikasi bahwa pelaku memiliki motivasi finansial.
Setelah melakukan aktivitas terhadap organisasi keuangan Korea Selatan, pelaku diketahui menggunakan Claude untuk mencari informasi mengenai tempat penjualan data hasil kebocoran.
Dalam salah satu sesi, pelaku meminta Claude memberikan informasi mengenai komunitas yang biasa digunakan untuk memperjualbelikan data hasil serangan siber di Korea Selatan.
Pelaku juga meminta bantuan untuk menemukan grup Telegram yang berfokus pada perdagangan data tersebut.
Temuan ini menunjukkan bahwa pelaku kemungkinan sedang mempertimbangkan langkah untuk memonetisasi informasi yang diperoleh dari aktivitas serangan.
Namun, riwayat yang ditemukan tidak memperlihatkan adanya strategi monetisasi yang telah disusun secara matang.
Belum terdapat pula konfirmasi bahwa data yang diperoleh dari bank-bank Korea Selatan benar-benar telah dijual kepada pihak lain.
CrowdStrike menilai pelaku kemungkinan memiliki motivasi finansial, meskipun tujuan akhir dan keseluruhan aktivitasnya masih menjadi bagian dari penyelidikan.
Pengembang ARTEX AI Hentikan Distribusi Open-Source
Terungkapnya penggunaan ARTEX dalam serangan siber nyata mendorong pengembang framework tersebut mengambil tindakan.
Setelah mengetahui bahwa tools yang dikembangkannya telah digunakan untuk menyerang organisasi keuangan, pengembang memutuskan untuk mengubah ARTEX menjadi proyek closed-source.
Pengembang juga menghentikan pembaruan lebih lanjut terhadap versi proyek yang sebelumnya tersedia untuk publik.
Keputusan tersebut menjadi respons terhadap penyalahgunaan framework penetration testing yang pada awalnya dapat dimanfaatkan untuk kebutuhan riset dan pengujian keamanan.
Meski demikian, penghentian distribusi open-source tidak serta-merta menghilangkan keberadaan ARTEX dari internet.
Kode yang telah beredar sebelumnya diketahui sudah digunakan untuk membuat sejumlah proyek turunan, termasuk versi dengan dukungan bahasa Inggris dan Korea.
Artinya, kemampuan yang tersedia dalam versi ARTEX sebelumnya masih berpotensi digunakan oleh pihak lain melalui proyek turunan tersebut.
Situasi ini memperlihatkan tantangan dalam mengendalikan penyalahgunaan tools keamanan yang telah didistribusikan secara terbuka.
Ancaman Serangan Siber Berbasis Agentic AI Semakin Berkembang
Kasus serangan terhadap sektor perbankan Korea Selatan menjadi contoh bagaimana agentic AI mulai dimanfaatkan dalam operasi serangan siber yang sebenarnya.
Kemampuan LLM untuk memahami instruksi, menganalisis informasi teknis, dan membantu menjalankan alur kerja kompleks memungkinkan penyerang mengintegrasikan AI ke dalam berbagai tahapan operasional.
Teknologi yang awalnya dikembangkan untuk meningkatkan produktivitas dan membantu pekerjaan teknis kini juga berpotensi mempercepat aktivitas berbahaya ketika digunakan tanpa otorisasi.
Bagi lembaga keuangan, perkembangan ini meningkatkan kebutuhan terhadap pemantauan aktivitas mencurigakan, pengamanan API, pengelolaan akses sistem, serta penerapan mekanisme deteksi ancaman yang mampu mengenali pola serangan terotomatisasi.
Pengamanan infrastruktur yang berhadapan langsung dengan internet juga menjadi semakin penting, mengingat informasi sensitif yang tersimpan dalam direktori terbuka dapat dimanfaatkan untuk mengungkap konfigurasi maupun aktivitas internal suatu sistem.
CrowdStrike memperkirakan bahwa threat actor akan terus bereksperimen dengan teknologi AI untuk meningkatkan kecepatan dan kemampuan operasi mereka.
Insiden ini sekaligus menunjukkan bahwa pemanfaatan AI dalam keamanan siber memiliki dua sisi. Di satu sisi, teknologi tersebut membantu peneliti menemukan vulnerability dan memperkuat pertahanan. Di sisi lain, kemampuan yang sama dapat dimanfaatkan untuk melakukan serangan terhadap sistem keuangan dan infrastruktur penting lainnya.
Sumber: CrowdStrike Intelligence
