중국 AI 모의해킹 툴 ARTEX 인프라 분석 #4 – Copy Cat 탄생

핵심 요약

ARTEX 원본 GitHub 저장소가 사라진 이후, 기존 ARTEX 코드베이스를 기반으로 한 독립 배포본과 커스터마이징 인스턴스가 증가하고 있다. 이들 배포본은 ARTEX 흔적을 유지한 채 제품명, UI, 파일시스템 구조, 에이전트 설정, 언어를 바꾸어 재배포되고 있다.

주요 관찰 사항

• 여러 인스턴스에서 ARTEX가 그대로 유지되거나 ScopeWeaver, Tangora PTaaS, Horda, Meze, AegisLoop, Bob Research Labs 같은 다른 이름으로 노출되었다.
• 일부 배포본은 자율형 모의해킹, 보안 점검, 코드 감사, 범용 에이전트 시스템 형태로 재구성되었다.
• 소스 코드 아티팩트에는 SMTP, 알림, HTTP 처리와 관련된 Go 코드 안에 한국어 문자열이 포함되어 있었고, translate_go.py에는 한국어 및 중국어 문자열을 영어로 치환하는 매핑이 있었다.
• artex-ko 디렉터리와 다수의 한국어 현지화 아티팩트도 확인되었다.

Case Study: Bob Research Labs / THE GRIM REAPER

• Bob Research Labs 환경에서는 TCP 3001과 TCP 443에서 서로 다른 프론트엔드가 노출되었다.
• 내부 경로에서 artex-linux-amd64 참조가 확인되었고, 프로젝트명은 reaper-full로 변경되어 있었다.
• REAPER 배포본은 ARTEX의 멀티 에이전트 오케스트레이션 구조를 유지한 채 PostgreSQL에서 작업 상태를 복원하고, Planner와 최대 3개의 Worker로 작업을 분배했다.
• DeepSeek, GLM, Kimi, Claude 기반 LLM 프로파일과 bobresearch 에이전트 프로파일이 확인되었다.

CVE-2026-75650 악용 및 후속 실행

• Bob Research Labs 환경에는 CVE-2026-75650의 공개 PoC인 StyleSmuggler(인증 없이 악용 가능한 Magento/Adobe Commerce 원격 코드 실행 취약점)의 작업 사본이 노출되어 있었다.
• 공개 PoC와 동일한 단계인 Guest Cart 생성, Billing Information 조작, 취약한 결제 흐름 트리거, Magento Report Identifier 추출이 수행된 흔적이 있었다.
• 추가로 IRC BOT DEPLOYED 메시지, cache.php 페이로드 생성, testnewbot.php, irc.php가 확인되었다.
• irc.php는 152.89.170.207:6667의 비밀번호 보호 #mg_master 채널에 접속하는 지속성 기반 IRC C2(원격 제어 채널) 임플란트로 동작하며, @reboot cron, 은닉 경로 복사, 다양한 PHP 실행 함수 지원, !cmd@ 및 !cmd@all 명령 수신 기능을 포함했다.

Skills 및 운영 특성

• API 정찰 및 테스트, SQL Injection, SSRF, XSS, XXE, IDOR, Command Injection, 파일 업로드 테스트, 클라우드 및 컨테이너 보안, 모바일 애플리케이션 테스트, 네트워크 침투 테스트, 보안 코드 리뷰, 사고 대응, 취약점 점검 등 폭넓은 Agent Skills가 확인되었다.
• skills-en-keep, skills-backup, skills-translated-en.zip, bob-research-skills-en.zip 같은 아티팩트는 Skills를 수집, 번역, 선별, 재패키징한 정황을 보여준다.

종합 평가

ARTEX는 단일 프로젝트가 아니라 여러 운영자에 의해 재사용, 수정, 현지화, 재배포되고 있다. Bob Research Labs 사례에서는 커스터마이징된 ARTEX/REAPER 빌드, 추가 Skills, 다수의 LLM 백엔드, 익스플로잇 개발 아티팩트, CVE-2026-75650 기반 후속 공격 흐름이 함께 확인되었다. 동시에 소스 코드, 자격증명, 개발 산출물, 런타임 로그, 공격 도구가 인터넷에 광범위하게 노출되어 있어 OPSEC가 미흡한 운영 형태를 보여준다.

IP

101[.]32[.]51[.]86

101[.]35[.]238[.]205

101[.]35[.]6[.]190

101[.]36[.]127[.]225

101[.]43[.]9[.]229