CrowdStrike: VAPOR PANDA استخدم ARTEX المدفوع بالذكاء الاصطناعي ضد أكثر من 200 منظمة

قال CrowdStrike Intelligence إن الخصم VAPOR PANDA المرتبط بالصين استخدم إطار الاختراق ARTEX المدفوع بالذكاء الاصطناعي لاستهداف أكثر من 200 منظمة في 14 دولة على الأقل خلال نافذة 11 يوماً بدأت في 17 أكتوبر 2026. وفي تقرير نُشر في 29 أكتوبر 2026، أكد CrowdStrike نشاطاً بعد الاستغلال في تسع منظمات. وتعقبت CrowdStrike OverWatch النشاط إلى وحدة تحكم ARTEX واحدة مرتبطة ببنية VAPOR PANDA.

الاستهداف والنشاط المؤكد

في التسع منظمات التي أُكد فيها نشاط بعد الاستغلال، اكتسب الخصم الوصول، ونشر باباً خلفياً BLOODALCHEMY، ثم انتقل إلى رش بيانات الاعتماد، ومسح الشبكة، والاستطلاع، بحسب CrowdStrike. كما نفذ الخصم نشاط رش كلمات المرور ومسح بيانات الاعتماد ضد 12 منظمة أخرى على الأقل، بما في ذلك مراكز أبحاث مقرها الولايات المتحدة وكيانات حكومية في أوروبا.

أبلغ CrowdStrike عن اختراقات واسعة داخل وزارات خارجية دولتين مقرهما أمريكا اللاتينية، وخرق محتمل لدولة ثالثة، وتجهيز ملفات أهداف لاستخدام لاحق ضد وزارات خارجية في أمريكا الوسطى وآسيا. كما اخترق الخصم وزارة داخلية مقرها الشرق الأوسط، بحسب CrowdStrike.

تشغيل ARTEX ونشاط الوكلاء

قال CrowdStrike إن VAPOR PANDA شغّل ARTEX أساساً على نموذج DeepSeek للغة الكبيرة، المطور في الصين، مع إضافة نموذج لغة تجاري ثانٍ قائم على الاشتراك لم تتمكن CrowdStrike Intelligence من تأكيده. وفي اختراق واحد، استهلكت وكلاء التخطيط الخاصة بالخصم نحو 1.4 مليار رمز إدخال، وهو رقم قال CrowdStrike إنه يشير إلى حجم النشاط المؤتمت.

يقرن ARTEX وكيلاً رئيسياً بوكلاء تخطيط وعاملين تابعين يشاركون رسم بياني للمعلومات والنتائج والأهداف، وتنتقل كل عملية من الوصول الأولي عبر استطلاع المضيف إلى الحركة الجانبية. وأبقى الإطار إنساناً في الحلقة. وأظهرت النصوص المستردة مشغلاً يصدر تعليمات بالصينية، موسومة بملصق تُرجم بمعنى تعليمة بشرية وموقوتة بتوقيت الصين المعياري، تطلب من الوكلاء إنشاء أصداف ويب، واستخراج بيانات اعتماد مسؤول النطاق، والتحقق من تغطية حساسات نقاط النهاية.

القطاعات والبرمجيات الخبيثة والتقييم

قال CrowdStrike إن ارتباطاً واحداً ركز على دولة أوروبية واحدة: وزارة خارجيتها، ورئاسة الجمهورية، ومكتب رئيس الوزراء، إضافة إلى كيانات الدفاع والقضاء والمالية والاستخبارات. وذهب ارتباط آخر إلى 19 منظمة مقرها الولايات المتحدة عبر قطاعات الأدوية والأشباه الموصلات والدفاع والنووي والمال.

في وزارة داخلية مقرها الشرق الأوسط وفي وزارة خارجية مقرها أمريكا اللاتينية، نشر VAPOR PANDA باباً خلفياً BLOODALCHEMY، وُثّق علناً لأول مرة في أكتوبر 2023. وأعاد الخصم تسمية ملف GameHook الشرعي إلى svchost.exe واستخدمه لتحميل مكتبة ربط ديناميكية خبيثة، graphics-hook-filter64.dll، التي فكّت تشفير ملف حمولة BLOODALCHEMY graphics-hook_config.bin.

قيّم CrowdStrike أن الخصوم المرتبطين بالصين سيواصلون من المرجح جداً تبني أطر وكيلية مثل ARTEX خلال الـ12 شهراً القادمة، مقترنة بنماذج لغة كبيرة متاحة تجارياً، مما يمكّن فرقاً صغيرة من توسيع الاختراقات عبر أهداف كثيرة في آنٍ واحد. ويوصي التقرير بتدوير مفاتيح التوقيع، ومفاتيح ما قبل المصادقة، وبيانات اعتماد الخدمة بعد الاشتباه بالتعرض، وفرض التحقق من توقيع SAML، ومتطلب IMDSv2، ونشر عامل كشف واستجابة نقاط النهاية في الوقت الحقيقي عبر البيئة.

غطى sitech.ge حادثة Storm-0940 في أكتوبر 2026 (Storm-0940 استخدم وكلاء ARTEX في هجوم ConnectWise)، بينما هاجم VAPOR PANDA، وهو خصم مختلف، أكثر من 200 منظمة منذ 17 أكتوبر 2026.

المصادر: Unite.AI