Güney Kore'de Yapay Zeka Tabanlı Sızma Testi Aracı ARTEX ile İlgili İzler Bulundu

a black background with purple and orange shapes — Milad Fakurian / Unsplash

Güney Kore'deki finansal kuruluşlara yönelik kişisel veri sızıntıları, anormal erişimler ve web sunucusu saldırıları yaşanırken, ARTEX adlı yapay zeka tabanlı otonom sızma testi aracına dair bulgular tespit edildi.

Shinhan Bank saldırılarında kullanıldığı tahmin edilen bir web sunucusunun HTML başlığında, otonom sızma testi konsolu anlamına gelen ARTEX ile ilgili ifadeler görüldü. Ancak finansal otoriteler veya ilgili kurumlar tarafından yapılan resmi incelemelerde, ARTEX'in Shinhan Bank saldırı sürecinde fiilen kullanıldığı henüz doğrulanmış değil.

ARTEX, büyük dil modellerini kullanan açık kaynaklı bir yapay zeka sistemidir. Güvenlik sorumlularının belirlediği hedefler ve kapsamlar doğrultusunda varlıkları tarayan, zafiyetleri analiz eden ve güvenlik doğrulama süreçlerini otomatikleştiren bir yapıya sahiptir. Go tabanlı bir arka uç ve web ön yüzünden oluşan sistem, varsayılan olarak TCP 8787 portu üzerinden hizmet vermektedir. Açık kaynaklı olması nedeniyle, saldırganlar tarafından keşif ve saldırı hazırlık süreçlerini otomatikleştirmek için kötüye kullanılabilir.

Oasis Security, AGATHA adlı siber tehdit istihbaratı platformu üzerinden 23 Eylül ile 3 Ekim tarihleri arasında bir takip gerçekleştirdi. Bu analiz sonucunda, internet üzerinde ARTEX ile ilgili 500 adet gözlem kaydı tespit edildi. Tekrarlanan kayıtlar çıkarıldığında, 359 benzersiz IP adresi ve 392 farklı hizmet maruziyet biçimi belirlendi. Bu benzersiz IP'lerin yaklaşık yüzde 93'ü olan 334 adreste, aracın varsayılan TCP 8787 portu gözlemlendi.

Söz konusu altyapıların coğrafi dağılımına bakıldığında, en yüksek yoğunluk 236 IP ile Amerika Birleşik Devletleri'nde görüldü. Bunu 53 IP ile Çin, 39 IP ile Hong Kong, 12 IP ile Singapur, 5 IP ile Japonya ve 4 IP ile Güney Kore izledi. Toplam 14 ülke ve bölgede altyapı tespit edilirken, Amerika Birleşik Devletleri, Çin ve Hong Kong'daki sunucular toplamın yaklaşık yüzde 91,4'ünü oluşturdu. Ağ operatörü bazında ise PEG TECH INC tarafından işletilen AS54600 ağında 359 IP'nin yüzde 54,6'sına denk gelen 196 benzersiz IP saptandı. Ayrıca Tencent bağlantılı AS45090 ağında da çok sayıda altyapı görüldü.

Bazı sunucularda CyberStrikeAI, AdaptixC2, GoPhish ve Acunetix gibi diğer saldırı ve güvenlik araçlarına ait bilgiler de bulundu. Oasis Security, sadece tek bir aracın değil, yapay zeka tabanlı saldırı otomasyon çerçevelerinin genel olarak yayıldığına dikkat çekti. Şirket, takip ettiği bir diğer yapay zeka aracı olan CyberStrikeAI ile ilgili yaklaşık 1000 adet sunucu gözlemlediğini bildirdi. Bu durum, yapay zeka ajanlarının keşif, bilgi toplama ve saldırı yolu belirleme süreçlerini hızlandırarak saldırganların mevcut zafiyetleri daha geniş ölçekte kullanmasına imkan tanıdığı şeklinde yorumlandı.