El creador chino del agente de IA ARTEX cierra su código tras los ciberataques a bancos surcoreanos

El desarrollador chino de ARTEX, un agente de IA de código abierto para pruebas de seguridad, anunció el jueves 8 de octubre que lo convierte en un proyecto de código cerrado, después de que firmas de ciberseguridad lo identificaran como una herramienta usada en la reciente campaña de ciberataques contra bancos de Corea del Sur. Lo cuenta un despacho de Reuters publicado por The Hindu.

El desarrollador, que firma como "Autumn-27" en GitHub, la plataforma donde se aloja código, escribió allí que, por el uso indebido de la herramienta, el proyecto no se actualizará más, no se publicarán nuevas versiones y no habrá mantenimiento. Añadió que ARTEX nació para ayudar a empresas y organizaciones a hacer pruebas de riesgo y mejorar su seguridad, que se opone a cualquier uso ilegal del programa y que no asume responsabilidad por conductas que incumplan las leyes. No mencionó de forma expresa los ataques a los bancos surcoreanos. Según las comprobaciones de Reuters, la página de ARTEX en GitHub ha sido retirada.

ARTEX se publicó en GitHub este año. Automatiza las pruebas de penetración (las que buscan vulnerabilidades en las redes de una organización). No es un modelo de lenguaje por sí mismo: se conecta a modelos externos como ChatGPT, Claude o DeepSeek.

El miércoles 7 de octubre, la firma estadounidense de ciberseguridad CrowdStrike dijo, según Reuters, que el sospechoso de los ataques, dirigidos a robar datos personales de clientes, era probablemente una persona de 26 años con base en China que usó ARTEX y Claude Code, la herramienta de Anthropic. El informe de CrowdStrike lo matiza: no atribuye la campaña a ningún grupo conocido y considera, con confianza moderada, que el autor probablemente habla chino y actúa por dinero. La edad sale de los datos personales que alguien incluyó al pedirle a Claude un currículum de investigador de seguridad; la firma cree que probablemente son del atacante, pero dice que la información disponible no permite asociarlos a él de forma definitiva.

Según ese informe, la campaña estuvo activa desde finales de septiembre hasta principios de octubre y acabó con datos extraídos. Los investigadores encontraron en servidores controlados por el atacante directorios abiertos con historiales de sesiones de Claude Code, archivos de configuración de ARTEX y archivos de memoria de Claude. La instancia de ARTEX usaba DeepSeek v4.1-flash como modelo principal, y el atacante recurrió además a GLM-5.3, de Zhipu AI, y a Grok 4.6 en otras sesiones de Claude Code. También preguntó a Claude dónde se suelen vender los datos robados en Corea y le pidió ayuda para encontrar grupos coreanos de Telegram de venta de datos.

Desde finales de septiembre, al menos nueve bancos surcoreanos han informado de ciberataques o la prensa local los ha señalado como objetivo, según Reuters. CrowdStrike, que cita información del sector, habla de varias entidades financieras y señala que el número de organizaciones afectadas no está confirmado; según esa información, en un banco el atacante habría entrado en un servicio de consulta del estado de los créditos que usan los intermediarios financieros, y en otro, en un sistema móvil de apoyo al trabajo de los empleados. La policía surcoreana abrió una investigación en la semana del 5 de octubre y el presidente, Lee Jae Myung, pidió medidas de respuesta contundentes.

Mao Ning, portavoz del Ministerio de Asuntos Exteriores chino, dijo el jueves en una rueda de prensa ordinaria que el ministerio no conocía el caso y que China se opone siempre a los ataques informáticos y los combate.