وفقًا لشركة CrowdStrike، فإن مجموعة التجسس VAPOR PANDA، التي تربطها بالصين، قامت منذ 17 أكتوبر بتوجيه ARTEX، وهو إطار عمل مفتوح المصدر ينسق وكلاء الاختراق، ضد أكثر من 200 منظمة في 14 دولة على الأقل. تعرضت تسع منها لاختراق مؤكد. هذه هي المجموعة الثانية المرتبطة بالصين التي تستخدم هذه الأداة، بعد Storm-0940.
نشرت CrowdStrike في 29 أكتوبر نصوص هذه العمليات، المستمدة من خادم تحكم مرتبط بـ VAPOR PANDA. كشف هذا الخادم بشكل متقطع عن أدواته، وملفات أهدافه، وتبادلات وكلائه. من بين ما وُجد تعليمات باللغة الصينية ومؤرخة بتوقيت بكين، مسبوقة بتسمية « تعليمات بشرية »: « ابحث في النطاق عن أجهزة ويندوز التي لا تحتوي على Falcon، بناءً على قائمة العمليات والمجلدات. » Falcon هو برنامج الأمان الخاص بـ CrowdStrike. توجه التعليمات إلى وكلاء ذكاء اصطناعي تم نشرها في شبكة مجموعة أدوية عالمية، وكانت مهمتهم تحديد المحطات غير المحمية بهذا البرنامج لتركيز مراحل الاختراق اللاحقة عليها. تمت ترجمة هذه التعليمات بواسطة ActuIA من النسخة الإنجليزية المنشورة من قبل CrowdStrike.
في 21 أكتوبر، كانت Microsoft قد نسبت بالفعل إلى Storm-0940، وهي مجموعة أخرى موالية لبكين، حملة تم تنفيذها بنفس الأداة ضد عملاء ConnectWise. توضح CrowdStrike أن العمليتين منفصلتان، وترى في ذلك علامة على أن الأداة تكتسب على الأرجح شعبية بين المجموعات المرتبطة بالصين. حتى الآن، هي المصدر الوحيد الذي يوثق هذه الحملة، والشركة نفسها تبيع البرنامج الذي كان المهاجمون يحاولون تجنبه.
وزارات أوروبية في القائمة
التغيير الأكثر وضوحًا يتعلق بالأهداف. منذ عام 2021، كان VAPOR PANDA يستهدف بشكل رئيسي الإدارات الحكومية، ومراكز الفكر، وقطاع الطاقة. إحدى العمليات التي أوكلت إلى الوكلاء استهدفت دولة أوروبية واحدة، لم تُسمَّ: وزارة خارجيتها، ورئاستها، وخدمات رئيس وزرائها، وإدارات دفاعها، وعدلها، وماليتها، واستخباراتها. عملية أخرى استهدفت 19 منظمة أمريكية في مجالات الأدوية، وأشباه الموصلات، والدفاع، والنووي، والتمويل. تم اختراق مشغلي اتصالات في الولايات المتحدة، وبلجيكا، والفلبين.
الرقم 200 يشير إلى منظمات مستهدفة، وليس ضحايا. تؤكد CrowdStrike نشاطًا بعد الاختراق في تسع منها، حيث قامت المجموعة بتثبيت باب خلفي معروف منذ عام 2023، يُدعى BLOODALCHEMY، قبل أن تبدأ بإجراءات استطلاع وهجمات على كلمات المرور. تعرضت اثنتا عشرة منظمة أخرى على الأقل لمحاولات اختراق حساباتها، بما في ذلك إدارات حكومية أوروبية.
مشغل واحد، عدة اختراقات في وقت واحد
يقوم ARTEX بتنظيم وكيل رئيسي، ووكلاء مخطِّطين، ووكلاء منفذين، يتشاركون قاعدة مشتركة من الحقائق، والاكتشافات، والأهداف. يتدخل الإنسان فقط عند نقاط التقاطع. حتى الآن، كانت CrowdStrike قد لاحظت وكلاء ذكاء اصطناعي يساعدون في اختراق واحد في كل مرة. نفذ VAPOR PANDA عدة عمليات بالتوازي، حيث كان كل وكيل يغير المسار عندما يفشل أحدها، سواء تعلق الأمر بتطبيقات الويب، أو خدمات السحابة، أو الحاويات، أو دليل Active Directory، أو البريد الإلكتروني، أو VPN.
قامت المجموعة بتشغيل ARTEX بشكل أساسي باستخدام DeepSeek، مكملة بنموذج تجاري ثانٍ يمكن الوصول إليه عبر اشتراك، لم تتمكن CrowdStrike من تحديده. في اختراق واحد فقط، استهلك الوكلاء المخططون حوالي 1.4 مليار رمز (توكن) كمدخلات، حيث الرموز هي وحدات النص التي يعالجها النموذج. وفقًا لـ CrowdStrike، هذا الاختيار مقصود: فهو يهدف إلى سلسلة أدوات لا تعتمد على أي مزود للنماذج، تعتمد على مكونات مفتوحة المصدر واشتراكات تجارية. يصف التقرير محركات هذا الجهاز بأنها متاحة للبيع بشكل علني.
ثغرات قديمة، يتم استغلالها بشكل أسرع
استغل الوكلاء بشكل رئيسي ثغرات معروفة مسبقًا. في مختبر أدوية أمريكي، قاموا على سبيل المثال بتسلسل استغلال تأكيد SAML غير الموقَّع، وهو بروتوكل مصادقة، وثغرة XML، حتى حصلوا على حساب مسؤول في الشركة. ضد إدارة حكومية يونانية، زودهم المشغل بتصدير لدليل يعود لعام 2022، حيث لم يتم تغيير مفاتيح المصادقة الخاصة به على الأرجح منذ ذلك الحين. كما سمح لهم مفتاح عميل VPN، وفقًا للمشغل، ناتج عن تسريب بريد إلكتروني في مايو 2024، بالوصول إلى شبكة داخلية.
توصي CrowdStrike بتغيير المفاتيح بعد أي كشف للبيانات، بما في ذلك تلك المحفوظة في النسخ الاحتياطية أو تصديرات الأدلة، والتحقق من توقيعات SAML، وفرض IMDSv2 على AWS. كما تدعو إلى البحث عن آثار ARTEX، مثل السلاسل النصية « artx » أو « artex » في سطر الأوامر، وتحديث المعدات المعرضة للإنترنت، خاصة خوادم Linux القديمة. تقرير CrowdStrike يرى أنه من المحتمل جدًا أن تستمر المجموعات المرتبطة بالصين في تبني هذا النوع من الأدوات خلال الاثني عشر شهرًا القادمة. كما كشف الخادم عن ملفات أهداف مُعدَّة لوزارات خارجية في أمريكا الوسطى وآسيا، دون أن تعرف CrowdStrike ما إذا كانت هذه العمليات قد أُطلقت.
