CrowdStrike. VAPOR PANDA-ն AI-ով աշխատող ARTEX-ով հարձակվել է 200-ից ավելի կազմակերպությունների վրա

CrowdStrike Intelligence-ը հայտնել է, որ Չինաստանին առնչվող VAPOR PANDA-ն օգտագործել է AI-ով աշխատող ARTEX ներխուժման շրջանակը՝ 2026թ. հոկտեմբերի 17-ից սկսած 11 օրվա ընթացքում առնվազն 14 երկրներում 200-ից ավելի կազմակերպություններ թիրախավորելու համար։ 2026թ. հոկտեմբերի 29-ի զեկույցում CrowdStrike-ը հաստատել է հետշահագործման ակտիվություն ինը կազմակերպություններում։ CrowdStrike OverWatch-ը գործունեությունը կապել է VAPOR PANDA-ի ենթակառուցվածքին միացված մեկ ARTEX վերահսկիչի հետ։

Թիրախավորում և հաստատված ակտիվություն

Այդ ինը կազմակերպություններում հակառակորդը մուտք է ստացել, տեղակայել է BLOODALCHEMY հետին դուռը և անցել հավատարմագրերի ցողման, ցանցի սկանավորման ու հետախուզման, հայտնել է CrowdStrike-ը։ Նա նաև գաղտնաբառերի ցողում և հավատարմագրերի սկանավորում է իրականացրել առնվազն 12 այլ կազմակերպությունների դեմ, ներառյալ ԱՄՆ-ի վերլուծական կենտրոնները և Եվրոպայի պետական կառույցները։

CrowdStrike-ը հայտնել է Լատինական Ամերիկայի երկու երկրների արտաքին գործերի նախարարություններում լայնածավալ ներխուժումների մասին, հավանաբար ներխուժել է երրորդը և թիրախային ֆայլեր նախապատրաստել Կենտրոնական Ամերիկայի ու Ասիայի արտաքին գործերի նախարարությունների դեմ։ Հակառակորդը նաև ներխուժել է Մերձավոր Արևելքի ներքին գործերի նախարարություն, հայտնել է CrowdStrike-ը։

ARTEX գործողությունը և գործակալների ակտիվությունը

CrowdStrike-ը հայտնել է, որ VAPOR PANDA-ն ARTEX-ը հիմնականում աշխատեցրել է չինական DeepSeek մեծ լեզվական մոդելի վրա՝ լրացված երկրորդ բաժանորդագրային առևտրային LLM-ով, որը CrowdStrike Intelligence-ը չի կարողացել հաստատել։ Մեկ ներխուժման ընթացքում հակառակորդի պլանավորման գործակալները սպառել են մոտ 1,4 միլիարդ մուտքային թոքեն, ինչը, ըստ CrowdStrike-ի, ցույց է տալիս ավտոմատացված ակտիվության մասշտաբը։

ARTEX-ը հիմնական գործակալին զուգակցում է ենթակա պլանավորող և աշխատող գործակալների հետ, որոնք կիսում են փաստերի, հայտնագործությունների և նպատակների գրաֆը՝ ներգրավումը սկզբնական մուտքից տանելով հոսթի հետախուզումից կողային տեղաշարժ։ Շրջանակում մարդը ներգրավված է մնացել։ Վերականգնված գրառումները ցույց են տվել, որ օպերատորը չինարենով հրահանգներ է տվել՝ «մարդու հրահանգ» պիտակով և Չինաստանի ստանդարտ ժամանակով, գործակալներին ասելով ստեղծել վեբ-շելեր, քաղել դոմենի ադմինիստրատորի հավատարմագրեր և ստուգել վերջնակետային սենսորների ծածկույթը։

Ոլորտներ, չարամիտ ծրագրեր և գնահատական

CrowdStrike-ը հայտնել է, որ մեկ ներգրավում կենտրոնացել է մեկ եվրոպական երկրի վրա՝ արտաքին գործերի նախարարություն, նախագահություն, վարչապետի գրասենյակ, ինչպես նաև պաշտպանության, արդարադատության, ֆինանսների և հետախուզության կառույցներ։ Մեկ այլ ներգրավում ուղղվել է ԱՄՆ-ի 19 կազմակերպությունների՝ դեղագործական, կիսահաղորդչային, պաշտպանական, միջուկային և ֆինանսական ոլորտներում։ Ներխուժվել են նաև ԱՄՆ-ի, Բելգիայի և Ֆիլիպինների հեռահաղորդակցության մատակարարները։

Մերձավոր Արևելքի ներքին գործերի նախարարությունում և Լատինական Ամերիկայի արտաքին գործերի նախարարությունում VAPOR PANDA-ն տեղակայել է BLOODALCHEMY-ն՝ հետին դուռ, որն առաջին անգամ հրապարակվել է 2023թ. հոկտեմբերին։ Հակառակորդը օրինական GameHook բինարը վերանվանել է svchost.exe և դրանով բեռնել չարամիտ graphics-hook-filter64.dll-ը, որը վերծանել է BLOODALCHEMY-ի graphics-hook_config.bin բեռնվածքի ֆայլը։

CrowdStrike-ը գնահատել է, որ Չինաստանին առնչվող հակառակորդները մեծ հավանականությամբ առաջիկա 12 ամիսներին կշարունակեն կիրառել ARTEX-ի նման գործակալային շրջանակներ՝ զուգակցելով առևտրային LLM-ների հետ և փոքր թիմերին թույլ տալով միաժամանակ ընդլայնել ներխուժումները շատ թիրախների վրա։ Զեկույցը խորհուրդ է տալիս ենթադրյալ արտահոսքից հետո փոխել ստորագրային բանալիները, նախնական նույնականացման բանալիները և ծառայության հավատարմագրերը, պարտադրել SAML ստորագրության վավերացում, պահանջել IMDSv2 և ամբողջ միջավայրում տեղակայել իրական ժամանակի վերջնակետային հայտնաբերման և արձագանքման գործակալ։

sitech.ge-ն հոկտեմբերին գրել է Storm-0940-ի մասին (Storm-0940-ը ConnectWise-ի հարձակմանը ARTEX AI գործակալներ կիրառեց), VAPOR PANDA-ն՝ այլ ակտոր, 2026-ի հոկտեմբերի 17-ից հարձակվել է 200-ից ավելի կազմակերպության։

Աղբյուրներ: Unite.AI