Хакеры подключили ИИ - данные банков утекли!

Что произошло

10 октября 2026 года появились новые публикации о кампании против южнокорейского финансового сектора. Само исследование CrowdStrike было опубликовано 7 октября: специалисты изучили серверы, связанные с атаками, которые происходили с конца сентября по начало октября.

На открытых каталогах предполагаемого атакующего обнаружили историю сессий Claude Code, конфигурационные файлы ARTEX и файлы памяти ИИ. Эти артефакты помогли восстановить часть действий злоумышленника и связать инфраструктуру с атаками на финансовые организации.

Как в атаках использовали ИИ

ARTEX и языковые модели

ARTEX — инструмент для автоматизации задач тестирования безопасности с применением языковых моделей. По найденным настройкам, в этой кампании основным движком ARTEX выступал DeepSeek v4.1-flash. Также обнаружены сессии Claude Code, в которых использовались другие модели, включая GLM и Grok.

По оценке исследователей, подобная связка может ускорять разведку, поиск слабых мест и выполнение повторяющихся действий. Но опубликованные материалы не позволяют утверждать, что каждая операция выполнялась автономно или что конкретная модель стала непосредственной причиной каждого взлома.

Почему это касается обычной инфраструктуры

Атакующим не обязательно создавать принципиально новую уязвимость. Даже при использовании ИИ начальной точкой могут оказаться обычные ошибки: открытый административный интерфейс, устаревшее приложение, чрезмерные права сервисной учётной записи или недостаточный контроль выгрузки данных.

Что проверить системному администратору

1. Внешний периметр

Сверьте список опубликованных веб-сервисов, API, VPN и административных панелей с фактически необходимыми.
Проверьте тестовые и давно неиспользуемые приложения, которые могли остаться доступными из интернета.
Для административных интерфейсов используйте VPN или другой ограниченный доверенный доступ, где это возможно.
Убедитесь, что обновления ОС и прикладного ПО устанавливаются в согласованные сроки.

2. Учётные записи и доступы

Проверьте наличие MFA для администраторов и удалённого доступа.
Пересмотрите права сервисных учётных записей и токенов API: им не нужен полный доступ ко всем данным.
Убедитесь, что отключённые сотрудники и устаревшие интеграции не сохраняют действующие ключи доступа.

3. Журналы и выгрузка данных

Обратите внимание на резкий рост ошибок авторизации, последовательное обращение к множеству URL, необычное число запросов к API, массовые экспорты и нестандартный исходящий трафик. Ни один из этих признаков сам по себе не доказывает атаку с ИИ, но они помогают находить подозрительную активность.

Практические проверки

Windows: неудачные входы за последние сутки

На сервере Windows можно начать с событий 4625 в журнале Security. Команда ниже показывает количество неудачных попыток по учётным записям; для её выполнения нужны права чтения журнала и включённый аудит входов.

$start = (Get-Date).AddHours(-24)
Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4625
    StartTime = $start
} -ErrorAction SilentlyContinue |
    ForEach-Object {
        $eventXml = [xml]$_.ToXml()
        ($eventXml.Event.EventData.Data |
            Where-Object { $_.Name -eq 'TargetUserName' }).'#text'
    } |
    Where-Object { $_ } |
    Group-Object |
    Sort-Object Count -Descending |
    Select-Object -First 15 Count, Name

Это общий первичный контроль, а не детектор ARTEX. Для поиска атак на веб-приложения дополнительно нужны журналы самого приложения, прокси, WAF и сетевые события.

Linux: частые ошибки доступа в Nginx

Если используется стандартный формат access.log, можно посмотреть адреса с большим количеством ответов 401 и 403:

sudo awk '$9 ~ /^(401|403)$/ {print $1}' /var/log/nginx/access.log | \
    sort | uniq -c | sort -nr | head -15

При нестандартном формате журналов номера полей будут другими. Многочисленные ошибки могут быть связаны и с легитимными клиентами, поэтому проверяйте запросы, временные интервалы и контекст.

Итог

История с ARTEX показывает, что ИИ становится ещё одним инструментом в арсенале атакующих. Это не повод искать особый «ИИ-трафик» вместо обычных средств защиты. Приоритет остаётся прежним: инвентаризация внешних сервисов, обновления, минимальные права, MFA и полноценный мониторинг обращений к данным.