CrowdStrike: VAPOR PANDA, Yapay Zekâ Odaklı ARTEX'i 200'den Fazla Kuruluşa Karşı Kullandı

CrowdStrike Intelligence, Çin bağlantılı saldırgan VAPOR PANDA'nın yapay zekâ odaklı ARTEX sızma çerçevesini kullanarak 17 Ekim 2026'da başlayan 11 günlük bir pencerede en az 14 ülkede 200'den fazla kuruluşu hedeflediğini söyledi. 29 Ekim 2026'da yayımlanan bir raporda CrowdStrike, dokuz kuruluşta istismar sonrası etkinliği doğruladı. CrowdStrike OverWatch, etkinliği VAPOR PANDA altyapısına bağlı tek bir ARTEX denetleyicisine izledi.

Hedefleme ve doğrulanmış etkinlik

Doğrulanmış istismar sonrası etkinliği olan dokuz kuruluşta saldırgan erişim kazandı, BLOODALCHEMY arka kapısını konuşlandırdı ve kimlik bilgisi püskürtme, ağ taraması ve keşif faaliyetlerine geçti; dedi CrowdStrike. Saldırgan ayrıca en az 12 başka kuruluşa karşı parola püskürtme ve kimlik bilgisi tarama etkinliği yürüttü; bunlar arasında ABD merkezli düşünce kuruluşları ve Avrupa'daki hükümet kurumları yer aldı.

CrowdStrike, iki Latin Amerika merkezli ülkenin dışişleri bakanlıklarında kapsamlı sızmalar bildirdi, üçüncüsünü de büyük olasılıkla ele geçirdi ve Orta Amerika ile Asya'daki dışişleri bakanlıklarına karşı sonradan kullanmak üzere hedef dosyaları hazırladı. Saldırgan ayrıca Orta Doğu merkezli bir içişleri bakanlığını da ele geçirdi; dedi CrowdStrike.

ARTEX çalışması ve ajan etkinliği

CrowdStrike, VAPOR PANDA'nın ARTEX'i öncelikle Çin'de geliştirilen DeepSeek büyük dil modeli üzerinde çalıştırdığını, CrowdStrike Intelligence'ın doğrulayamadığı abonelik tabanlı ikinci bir ticari LLM ile desteklediğini söyledi. Tek bir sızma olayında saldırganın planlama ajanları yaklaşık 1,4 milyar girdi token'ı tüketti; CrowdStrike bu rakamın otomatik etkinliğin ölçeğine işaret ettiğini söyledi.

ARTEX, bir ana ajanı; olgular, bulgular ve hedeflerden oluşan bir grafiği paylaşan ast planlayıcı ve işçi ajanlarla eşleştirir ve her operasyonu ilk erişimden ana bilgisayar keşfine ve yanal harekete taşır. Çerçeve, insanı döngüde tuttu. Kurtarılan transkriptler, bir operatörün Çince talimatlar verdiğini gösterdi; bunlar insan talimatı olarak çevrilen bir etiketle işaretlenmiş ve Çin Standart Saati ile zaman damgası almıştı; ajanlara web shell'leri oluşturma, etki alanı yönetici kimlik bilgilerini çıkarma ve uç nokta sensör kapsamını kontrol etme talimatı veriyordu.

Sektörler, kötü amaçlı yazılım ve değerlendirme

CrowdStrike, bir operasyonun tek bir Avrupa ülkesine odaklandığını söyledi: dışişleri bakanlığı, cumhurbaşkanlığı ve başbakanlık ofisi, ayrıca savunma, adalet, finans ve istihbarat kurumları. Başka bir operasyon, ilaç, yarı iletken, savunma, nükleer ve finans sektörlerindeki 19 ABD merkezli kuruluşu hedef aldı. ABD, Belçika ve Filipinler'deki telekomünikasyon sağlayıcıları da ele geçirildi.

Orta Doğu merkezli bir içişleri bakanlığında ve Latin Amerika merkezli bir dışişleri bakanlığında VAPOR PANDA, Ekim 2023'te ilk kez kamuya açık biçimde belgelenen bir arka kapı olan BLOODALCHEMY'yi konuşlandırdı. Saldırgan, meşru bir GameHook ikili dosyasını svchost.exe olarak yeniden adlandırdı ve kötü amaçlı bir DLL olan graphics-hook-filter64.dll'yi yüklemek için kullandı; bu DLL, BLOODALCHEMY yük dosyası graphics-hook_config.bin'i deşifre etti.

CrowdStrike, Çin bağlantılı saldırganların önümüzdeki 12 ay içinde ARTEX gibi ajan tabanlı çerçeveleri benimsemeye çok büyük olasılıkla devam edeceğini, bunları ticari olarak temin edilebilen LLM'lerle eşleştireceğini ve küçük ekiplerin tek seferde birçok hedefte sızma olaylarını ölçeklendirmesini sağlayacağını değerlendirdi. Rapor, şüpheli maruziyet sonrası imzalama anahtarlarını, ön kimlik doğrulama anahtarlarını ve hizmet kimlik bilgilerini döndürmeyi; SAML imza doğrulamasını zorunlu kılmayı; IMDSv2'yi zorunlu tutmayı ve ortam genelinde gerçek zamanlı uç nokta algılama ve yanıt ajanı konuşlandırmayı önerir.

sitech.ge, Storm-0940 vakasını Ekim 2026'da duyurdu (Storm-0940 ConnectWise saldırısında ARTEX ajanlarını kullandı); VAPOR PANDA ise farklı bir aktör olarak 17 Ekim 2026'dan beri 200'den fazla kuruluşa saldırdı.

Kaynaklar: Unite.AI