Yapay Zekâ Hackleme Aracı ARTEX, Çin Bağlantılı Yeni Gruplara Yayılıyor

Açık kaynaklı yapay zekâ hackleme çerçevesi ARTEX, tek bir Çin bağlantılı casusluk grubuyla sınırlı kalmadı. CrowdStrike, Google ve Microsoft’un raporları, aracın birden fazla grubun elinde dolaştığını ve geliştiricisi onu yayından kaldırsa da yayılmayı sürdürdüğünü gösteriyor.

11 günde 200’den fazla kurum hedef alındı

CrowdStrike’ın 29 Ekim tarihli raporuna göre VAPOR PANDA adlı grup, ARTEX’i ağırlıklı olarak Çin yapımı DeepSeek modeli üzerinde çalıştırdı. Kampanya 17 Ekim’de başladı; dışişleri bakanlıkları, ABD’li çip, savunma ve telekomünikasyon şirketleri ile düşünce kuruluşları hedef alındı. Şirket, dokuz kurumda sızma sonrası faaliyeti doğruladı. Saldırganlar arka kapı yerleştirdi, kimlik bilgilerine toplu deneme saldırıları yaptı ve ağları taradı. Operasyonu Mandarin talimatlar veren tek bir insan operatör yönetti.

Kaldırılan kod çatallarla yaşıyor

Google Threat Intelligence Group ve Mandiant’a göre ARTEX’in geliştiricisi, aracın yaygın biçimde kötüye kullanılması üzerine Ekim 2026’da projeyi GitHub’dan çekti. Ancak topluluğun oluşturduğu çatallar (orijinal kodun kopyalanıp ayrı geliştirildiği sürümler) dolaşımda. Bunlar arasında ScopeWeaver adlı yerelleştirilmiş bir sürüm ve ARTEX PRO adlı ücretli bir versiyon da var. Go diliyle yazılan araç, saldırıyı altı özel alt ajana bölüyor ve Active Directory keşfi ile ayrıcalık yükseltmeyi otomatikleştiriyor.

Başka gruplar da kullanıyor, ama panik gerekmiyor

Microsoft, ARTEX’i Çin bağlantılı Storm-0940 grubuyla ilişkilendirdi; CrowdStrike ise aracın Güney Koreli finans kuruluşlarına yönelik saldırılarda kullanıldığını bildirdi. Mandiant, saldırganların hâlâ çalıntı kimlik bilgilerine ve yamalanmamış sistemlere dayandığını, ARTEX’in ise yüzlerce günlük kaydı bırakarak gürültülü çalıştığını belirtiyor. GTIG araştırmacısı Rohit Nambiar kampanyayı bir “uyarı atışı” olarak niteledi ve tamamen otonom bir yapının henüz var olduğuna dair kanıt bulunmadığını söyledi.