CrowdStrike: VAPOR PANDA-მ ხელოვნური ინტელექტით მართული ARTEX 200-ზე მეტი ორგანიზაციის წინააღმდეგ გამოიყენა

CrowdStrike Intelligence-მა განაცხადა, რომ ჩინეთთან დაკავშირებულმა მოწინააღმდეგემ VAPOR PANDA-მ ხელოვნური ინტელექტით მართული ARTEX-ის შეღწევის ჩარჩო გამოიყენა 200-ზე მეტი ორგანიზაციის წინააღმდეგ, მინიმუმ 14 ქვეყანაში, 2026 წლის 17 ოქტომბრიდან დაწყებული 11-დღიანი პერიოდის განმავლობაში. 2026 წლის 29 ოქტომბერს გამოქვეყნებულ ანგარიშში CrowdStrike-მა ცხრა ორგანიზაციაში ექსპლუატაციის შემდგომი აქტივობა დაადასტურა. CrowdStrike OverWatch-მა აქტივობა VAPOR PANDA-ს ინფრასტრუქტურასთან დაკავშირებულ ერთ ARTEX კონტროლერს მიაკვლია.

სამიზნეები და დადასტურებული აქტივობა

ცხრა ორგანიზაციაში, სადაც ექსპლუატაციის შემდგომი აქტივობა დადასტურდა, მოწინააღმდეგემ მიიღო წვდომა, ჩაანერგა BLOODALCHEMY-ის უკანა კარი და გადავიდა ავტორიზაციის მონაცემების შესხურებაზე, ქსელის სკანირებასა და დაზვერვაზე, განაცხადა CrowdStrike-მა. მოწინააღმდეგემ ასევე განახორციელა პაროლების შესხურებისა და ავტორიზაციის მონაცემების სკანირების აქტივობა კიდევ მინიმუმ 12 ორგანიზაციის წინააღმდეგ, მათ შორის იყო აშშ-ში დაფუძნებული ანალიტიკური ცენტრები და ევროპაში მოქმედი სამთავრობო უწყებები.

CrowdStrike-მა განაცხადა მასშტაბური შეღწევების შესახებ ლათინურ ამერიკაში მდებარე ორი ქვეყნის საგარეო საქმეთა სამინისტროებში, სავარაუდოდ, გატეხა მესამეც და მოამზადა სამიზნე ფაილები მოგვიანებით ცენტრალური ამერიკისა და აზიის საგარეო საქმეთა სამინისტროების წინააღმდეგ გამოსაყენებლად. მოწინააღმდეგემ ასევე გატეხა ახლო აღმოსავლეთში მდებარე შინაგან საქმეთა სამინისტრო, განაცხადა CrowdStrike-მა.

ARTEX-ის ოპერაცია და აგენტების აქტივობა

CrowdStrike-მა განაცხადა, რომ VAPOR PANDA-მ ARTEX ძირითადად ჩინეთში შემუშავებულ DeepSeek-ის დიდ ენობრივ მოდელზე ამუშავა, რომელსაც ავსებდა მეორე, სააბონენტო კომერციული LLM, რომლის დადასტურებაც CrowdStrike Intelligence-მა ვერ შეძლო. ერთი შეღწევის დროს მოწინააღმდეგის დაგეგმვის აგენტებმა დაახლოებით 1,4 მილიარდი შემავალი ტოკენი მოიხმარეს, რაც, CrowdStrike-ის თქმით, ავტომატიზებული აქტივობის მასშტაბზე მიუთითებს.

ARTEX მთავარ აგენტს უკავშირებს დაქვემდებარებულ დამგეგმავ და შემსრულებელ აგენტებს, რომლებიც ერთი გრაფის ფარგლებში იზიარებენ ფაქტებს, აღმოჩენებსა და მიზნებს; ასე თითოეულ ოპერაციას საწყისი წვდომიდან ჰოსტის დაზვერვის გავლით ქსელში გვერდით გადაადგილებამდე მიჰყავს. ადამიანი პროცესში ჩართული რჩებოდა. აღდგენილი ტრანსკრიპტებით ჩანდა, რომ ოპერატორი ჩინურად აძლევდა მითითებებს, რომლებიც „ადამიანის მითითების“ თარგმანის მქონე ეტიკეტით იყო მონიშნული და ჩინეთის სტანდარტული დროით ჰქონდა დროის ნიშანი; ის აგენტებს ავალებდა ვებ-ჭურვების შექმნას, დომენის ადმინისტრატორის ავტორიზაციის მონაცემების ამოღებას და ბოლო წერტილების სენსორებით დაფარვის შემოწმებას.

სექტორები, მავნე პროგრამა და შეფასება

CrowdStrike-მა განაცხადა, რომ ერთი ოპერაცია ერთ კონკრეტულ ევროპულ ქვეყანაზე იყო ორიენტირებული: მის საგარეო საქმეთა სამინისტროზე, პრეზიდენტის ადმინისტრაციასა და პრემიერ-მინისტრის აპარატზე, ასევე თავდაცვის, იუსტიციის, ფინანსებისა და დაზვერვის უწყებებზე. კიდევ ერთი ოპერაცია მიმართული იყო აშშ-ში დაფუძნებულ 19 ორგანიზაციაზე ფარმაცევტულ, ნახევარგამტარულ, თავდაცვით, ბირთვულ და ფინანსურ სექტორებში. ასევე გატეხეს ტელეკომუნიკაციის პროვაიდერები აშშ-ში, ბელგიასა და ფილიპინებში.

ახლო აღმოსავლეთში მდებარე შინაგან საქმეთა სამინისტროსა და ლათინურ ამერიკაში მდებარე საგარეო საქმეთა სამინისტროში VAPOR PANDA-მ ჩაანერგა BLOODALCHEMY, უკანა კარი, რომელიც პირველად საჯაროდ 2023 წლის ოქტომბერში აღწერეს. მოწინააღმდეგემ ლეგიტიმურ GameHook ბინარულ ფაილს დაარქვა svchost.exe და გამოიყენა იგი მავნე DLL-ის ჩასატვირთად, სახელად graphics-hook-filter64.dll, რომელმაც გაშიფრა BLOODALCHEMY-ის payload ფაილი graphics-hook_config.bin.

CrowdStrike-ის შეფასებით, ჩინეთთან დაკავშირებული მოწინააღმდეგეები მომდევნო 12 თვის განმავლობაში დიდი ალბათობით გააგრძელებენ ARTEX-ის მსგავსი აგენტური ჩარჩოების დანერგვას, დააკავშირებენ მათ კომერციულად ხელმისაწვდომ LLM-ებთან და მცირე გუნდებს საშუალებას მისცემენ ერთდროულად ბევრ სამიზნეზე გააფართოონ შეღწევები. ანგარიში რეკომენდაციას იძლევა, რომ ეჭვმიტანილი გამჟღავნების შემდეგ შეიცვალოს ხელმოწერის გასაღებები, ავთენტიფიკაციამდელი გასაღებები და სერვისის ავტორიზაციის მონაცემები, სავალდებულო გახდეს SAML ხელმოწერის ვალიდაცია და IMDSv2-ის მოთხოვნა, და მთელ გარემოში განლაგდეს რეალურ დროში მომუშავე ბოლო წერტილებზე გამოვლენისა და რეაგირების აგენტი.

sitech.ge-მ ოქტომბერში გააშუქა Storm-0940-ის ეპიზოდი (Storm-0940 ARTEX AI-აგენტებს ConnectWise-ის შეტევაში იყენებს); ახლა კი სხვა აქტორი, VAPOR PANDA, 2026 წლის 17 ოქტომბრიდან 200-ზე მეტ ორგანიზაციას თავს დაესხა.

წყაროები: Unite.AI