CrowdStrike: VAPOR PANDA השתמשה ב-ARTEX המונע בינה מלאכותית נגד יותר מ-200 ארגונים

CrowdStrike Intelligence מסרה כי השחקן העוין VAPOR PANDA, הנקשר לסין, השתמש במסגרת החדירה ARTEX המונעת בינה מלאכותית כדי לתקוף יותר מ-200 ארגונים בלפחות 14 מדינות במהלך חלון של 11 ימים שהחל ב-17 באוקטובר 2026. בדוח שפורסם ב-29 באוקטובר 2026, CrowdStrike אישרה פעילות לאחר ניצול בתשעה ארגונים. CrowdStrike OverWatch איתרה את הפעילות לבקר ARTEX יחיד המקושר לתשתית של VAPOR PANDA.

מיקוד ופעילות מאושרת

בתשעת הארגונים שבהם אושרה פעילות לאחר ניצול, השחקן העוין השיג גישה, פרס את דלת האחורית BLOODALCHEMY ועבר לריסוס אישורים, סריקת רשתות ואיסוף מודיעין, מסרה CrowdStrike. השחקן העוין גם הפעיל פעילות של ריסוס סיסמאות וסריקת אישורים נגד לפחות 12 ארגונים נוספים, כולל צוותי חשיבה שבסיסם בארצות הברית וגופים ממשלתיים באירופה.

CrowdStrike דיווחה על חדירות נרחבות בתוך משרדי החוץ של שתי מדינות שבסיסן באמריקה הלטינית, כנראה פרצה לשלישית, והכינה קבצי מטרה לשימוש מאוחר יותר נגד משרדי חוץ באמריקה המרכזית ובאסיה. השחקן העוין גם פגע במשרד פנים שבסיסו במזרח התיכון, מסרה CrowdStrike.

הפעלת ARTEX ופעילות הסוכנים

CrowdStrike מסרה כי VAPOR PANDA הפעילה את ARTEX בעיקר על מודל השפה הגדול DeepSeek שפותח בסין, כשהוא מתוגבר במודל LLM מסחרי שני מבוסס מינוי אשר CrowdStrike Intelligence לא הצליחה לאשר. בחדירה אחת, סוכני התכנון של השחקן העוין צרכו כ-1.4 מיליארד אסימוני קלט, נתון שלטענת CrowdStrike מצביע על היקף הפעילות האוטומטית.

ARTEX מצמידה לסוכן ראשי סוכני תכנון וביצוע כפופים החולקים גרף של עובדות, ממצאים ומטרות, ומעבירה כל מעורבות מגישה ראשונית דרך איסוף מודיעין על המארח ועד לתנועה רוחבית. המסגרת שמרה על אדם בלולאה. תמלילים ששוחזרו הראו מפעיל שולח הוראות בסינית, מסומנות בתווית המתורגמת כהוראת אדם ובעלות חותמת זמן לפי שעון סין, המורות לסוכנים ליצור קונכיות רשת, לחלץ אישורי מנהל דומיין ולבדוק כיסוי חיישני נקודות קצה.

מגזרים, תוכנה זדונית והערכה

CrowdStrike מסרה כי מעורבות אחת התמקדה במדינה אירופית אחת: משרד החוץ שלה, הנשיאות ומשרד ראש הממשלה, וכן גופי ביטחון, משפטים, פיננסים ומודיעין. מעורבות אחרת כוונה נגד 19 ארגונים שבסיסם בארצות הברית בתחומי התרופות, המוליכים למחצה, הביטחון, הגרעין והפיננסים. ספקי תקשורת בארצות הברית, בלגיה והפיליפינים גם הם נפרצו.

במשרד פנים שבסיסו במזרח התיכון ובמשרד חוץ שבסיסו באמריקה הלטינית, VAPOR PANDA פרסה את BLOODALCHEMY, דלת אחורית שתועדה לראשונה בפומבי באוקטובר 2023. השחקן העוין שינה את שמו של קובץ בינארי לגיטימי של GameHook ל-svchost.exe והשתמש בו כדי לטעון קובץ DLL זדוני, graphics-hook-filter64.dll, אשר פענח את קובץ המטען של BLOODALCHEMY בשם graphics-hook_config.bin.

CrowdStrike העריכה כי שחקנים עוינים הנקשרים לסין ימשיכו בסבירות גבוהה מאוד לאמץ מסגרות סוכניות כגון ARTEX במהלך 12 החודשים הבאים, לצד מודלי LLM זמינים מסחרית, ויאפשרו לצוותים קטנים להרחיב חדירות על פני יעדים רבים בבת אחת. הדוח ממליץ לסובב מפתחות חתימה, מפתחות אימות מקדים ואישורי שירות לאחר חשיפה חשודה, לאכוף אימות חתימה של SAML, לדרוש IMDSv2 ולפרוס סוכן זיהוי ותגובה בנקודות קצה בזמן אמת ברחבי הסביבה.

sitech.ge דיווח על המקרה של Storm-0940 באוקטובר 2026 (Storm-0940 השתמש בסוכני ARTEX במתקפת ConnectWise); ואילו VAPOR PANDA, שחקן אחר, תקף יותר מ-200 ארגונים מאז 17 באוקטובר 2026.

מקורות: Unite.AI