CrowdStrike: VAPOR PANDA AI ilə idarə olunan ARTEX-i 200-dən çox təşkilata qarşı istifadə etdi

CrowdStrike Intelligence bildirdi ki, Çin ilə əlaqəli təhdid aktoru VAPOR PANDA AI ilə idarə olunan ARTEX hücum çərçivəsindən istifadə edərək 17 oktyabr 2026-cı ildən başlayan 11 günlük müddətdə ən azı 14 ölkədə 200-dən çox təşkilatı hədəfə alıb. 29 oktyabr 2026-cı ildə dərc olunmuş hesabatda CrowdStrike doqquz təşkilatda istismardan sonrakı fəaliyyəti təsdiqlədi. CrowdStrike OverWatch fəaliyyəti VAPOR PANDA infrastrukturuna bağlı tək bir ARTEX kontrollerinə qədər izlədi.

Hədəfləmə və təsdiqlənmiş fəaliyyət

İstismardan sonrakı fəaliyyəti təsdiqlənmiş doqquz təşkilatda təhdid aktoru giriş əldə edib, BLOODALCHEMY backdoor-unu yerləşdirib və kredensial püskürməsi, şəbəkə skanı və kəşfiyyat fəaliyyətinə keçib, CrowdStrike bildirdi. Təhdid aktoru həmçinin ən azı 12 başqa təşkilata, o cümlədən ABŞ mərkəzli düşüncə mərkəzlərinə və Avropadakı dövlət qurumlarına qarşı parol püskürməsi və kredensial skanı fəaliyyəti aparıb.

CrowdStrike iki Latın Amerikası mərkəzli ölkənin xarici işlər nazirliklərində genişmiqyaslı müdaxilələr olduğunu bildirdi, üçüncüsünü ehtimal ki, sındırdı və Mərkəzi Amerika və Asiyadakı xarici işlər nazirliklərinə qarşı sonradan istifadə üçün hədəf fayllarını hazırladı. Təhdid aktoru həmçinin Orta Şərq mərkəzli daxili işlər nazirliyini ələ keçirdi, CrowdStrike bildirdi.

ARTEX-in işləməsi və agent fəaliyyəti

CrowdStrike bildirdi ki, VAPOR PANDA ARTEX-i əsasən Çin tərəfindən hazırlanmış DeepSeek böyük dil modeli üzərində işlədib və CrowdStrike Intelligence tərəfindən təsdiq edilə bilməyən abunə əsaslı ikinci kommersiya LLM ilə tamamlayıb. Tək bir hücumda təhdid aktorunun planlaşdırma agentləri təxminən 1,4 milyard giriş tokeni istifadə edib; CrowdStrike bildirdi ki, bu rəqəm avtomatlaşdırılmış fəaliyyətin miqyasına işarə edir.

ARTEX əsas agenti tabe planlaşdırma və işçi agentlərlə birləşdirir; onlar fakt, tapıntı və məqsədlər qrafını paylaşır və hər əməliyyatı ilkin girişdən host kəşfiyyatına, oradan yanal hərəkətə aparır. Çərçivə insan nəzarətində qaldı. Bərpa olunmuş transkriptlər göstərdi ki, operator Çin dilində təlimat verib; təlimat «insan təlimatı» kimi tərcümə olunan etiketlə işarələnib və Çin Standart Vaxtında vaxt möhürü qoyulub; agentlərə veb qabıqlar yaratmaq, domen administrator kredensiallarını çıxarmaq və endpoint sensor əhatəsini yoxlamaq tapşırılıb.

Sektorlar, zərərli proqram və qiymətləndirmə

CrowdStrike bildirdi ki, bir əməliyyat tək bir Avropa ölkəsinə yönəlib: onun xarici işlər nazirliyi, prezidentliyi və baş nazirin ofisi, həmçinin müdafiə, ədliyyə, maliyyə və kəşfiyyat qurumları. Başqa bir əməliyyat 19 ABŞ mərkəzli təşkilata yönəlib: əczaçılıq, yarımkeçirici, müdafiə, nüvə və maliyyə sektorları üzrə. ABŞ, Belçika və Filippində telekommunikasiya provayderləri də ələ keçirilib.

Orta Şərq mərkəzli daxili işlər nazirliyində və Latın Amerikası mərkəzli xarici işlər nazirliyində VAPOR PANDA BLOODALCHEMY-ni yerləşdirdi; bu backdoor ilk dəfə oktyabr 2023-cü ildə ictimaiyyətə sənədləşdirilib. Təhdid aktoru legitim GameHook binary-ni svchost.exe adı ilə yenidən adlandırıb və ondan zərərli DLL, graphics-hook-filter64.dll yükləmək üçün istifadə edib; bu DLL BLOODALCHEMY yük faylını, graphics-hook_config.bin-i deşifrə edib.

CrowdStrike qiymətləndirib ki, Çin ilə əlaqəli təhdid aktorları növbəti 12 ay ərzində ARTEX kimi agentik çərçivələri qəbul etməyə çox ehtimal ki davam edəcək; onları kommersiya əsaslı əlçatan LLM-lərlə birləşdirəcək və kiçik komandaların eyni anda çoxlu hədəf üzrə müdaxilələri miqyaslandırmağa imkan verəcək. Hesabat tövsiyə edir: şübhəli məruz qalmadan sonra imzalama açarlarını, ilkin autentifikasiya açarlarını və xidmət kredensiallarını döndərmək; SAML imza yoxlamasını məcburi etmək; IMDSv2 tələb etmək; və mühit üzrə real vaxt rejimində endpoint aşkarlama və cavab agenti yerləşdirmək.

sitech.ge oktyabrda Storm-0940 hadisəsi barədə yazıb (Storm-0940 ConnectWise hücumunda ARTEX AI agentlərindən istifadə edib); VAPOR PANDA başqa aktor kimi 17 oktyabr 2026-cı ildən 200-dən çox təşkilata hücum edib.

Mənbələr: Unite.AI