Secondo CrowdStrike, il gruppo di spionaggio VAPOR PANDA, che collega alla Cina, ha diretto dal 17 ottobre ARTEX, un framework open source che coordina agenti di intrusione, contro oltre 200 organizzazioni in almeno 14 paesi. Nove hanno subito un’intrusione confermata. Si tratta del secondo gruppo legato alla Cina a utilizzare questo strumento, dopo Storm-0940.
CrowdStrike ha pubblicato il 29 ottobre le trascrizioni di queste operazioni, provenienti da un server di comando collegato a VAPOR PANDA. Questo server ha esposto in modo intermittente i suoi strumenti, i suoi file di target e gli scambi dei suoi agenti. Vi si trova in particolare un’istruzione, in cinese e con timestamp all’ora di Pechino, preceduta dall’etichetta «istruzione umana»: «Trova nel dominio le macchine Windows senza Falcon, in base alla lista dei processi e alle cartelle». Falcon è il software di sicurezza di CrowdStrike. L’istruzione è rivolta ad agenti di IA dispiegati nella rete di un gruppo farmaceutico globale, che dovevano individuare i terminali non protetti da questo software per concentrarvi la fase successiva dell’intrusione. È stata tradotta da ActuIA a partire dalla versione inglese pubblicata da CrowdStrike.
Il 21 ottobre, Microsoft aveva già attribuito a Storm-0940, altro gruppo allineato con Pechino, una campagna condotta con lo stesso strumento contro i clienti di ConnectWise. CrowdStrike precisa che le due operazioni sono distinte, e vi vede il segno che lo strumento sta probabilmente guadagnando popolarità tra i gruppi legati alla Cina. Per il momento, è l’unica fonte a documentare questa campagna, e l’editore vende egli stesso il software che gli aggressori cercavano di evitare.
Ministeri europei nella lista
Il cambiamento più netto riguarda i target. Dal 2021, VAPOR PANDA mirava soprattutto amministrazioni, think tank e il settore dell’energia. Una delle operazioni affidate agli agenti mirava un solo paese europeo, non nominato: il suo ministero degli Affari Esteri, la sua presidenza, i servizi del suo Primo Ministro, e le sue amministrazioni della difesa, della giustizia, delle finanze e dell’intelligence. Un’altra mirava 19 organizzazioni statunitensi del settore farmaceutico, dei semiconduttori, della difesa, del nucleare e della finanza. Operatori telecom sono stati compromessi negli Stati Uniti, in Belgio e nelle Filippine.
La cifra di 200 designa organizzazioni prese di mira, e non vittime. CrowdStrike conferma un’attività post-intrusione in nove di esse, dove il gruppo ha installato una backdoor nota dal 2023, BLOODALCHEMY, prima di lanciare azioni di ricognizione e attacchi sulle password. Almeno altre dodici hanno subito tentativi sulle loro credenziali, comprese amministrazioni europee.
Un operatore, più intrusioni contemporaneamente
ARTEX organizza un agente principale, agenti pianificatori e agenti esecutori, che condividono una base comune di fatti, scoperte e obiettivi. L’umano interviene solo ai bivi. Finora, CrowdStrike aveva osservato agenti di IA assistere un’intrusione alla volta. VAPOR PANDA ne ha condotte diverse in parallelo, ogni agente cambiava traccia quando una via falliva, che si trattasse di applicazioni web, servizi cloud, container, l’annuario Active Directory, la posta o la VPN.
Il gruppo ha fatto funzionare ARTEX soprattutto con DeepSeek, integrato da un secondo modello commerciale accessibile tramite abbonamento, che CrowdStrike non ha potuto identificare. In una sola intrusione, gli agenti pianificatori hanno consumato dell’ordine di 1,4 miliardi di token in input, i token essendo le unità di testo che un modello elabora. Secondo CrowdStrike, questa scelta è deliberata: mira a una catena di strumenti che non dipenda da alcun fornitore di modelli, a partire da componenti open source e abbonamenti commerciali. Il rapporto descrive i motori di questo dispositivo come in vendita libera.
Vecchie vulnerabilità, sfruttate più velocemente
Gli agenti hanno soprattutto sfruttato vulnerabilità già note. In un laboratorio farmaceutico statunitense, hanno in particolare concatenato un’asserzione SAML non firmata, un protocollo di autenticazione, e una vulnerabilità XML, fino a ottenere un account di amministratore dell’azienda. Contro un’amministrazione greca, l’operatore ha fornito loro un export dell’annuario del 2022 le cui chiavi di autenticazione verosimilmente non erano state cambiate da allora. Una chiave di client VPN proveniente, secondo l’operatore, da una fuga di email del maggio 2024 ha anche permesso loro di raggiungere una rete interna.
CrowdStrike raccomanda di cambiare le chiavi dopo qualsiasi esposizione di dati, comprese quelle conservate in backup o export di annuario, di validare le firme SAML e di imporre IMDSv2 su AWS. Invita anche a cercare le tracce di ARTEX, come le stringhe «artx» o «artex» in riga di comando, e ad aggiornare le apparecchiature esposte a internet, in particolare i vecchi server Linux. Il rapporto di CrowdStrike giudica molto probabile che i gruppi legati alla Cina continuino ad adottare questo tipo di strumento nei prossimi dodici mesi. Il server ha anche lasciato vedere file di target preparati per ministeri degli Affari Esteri in America Centrale e in Asia, senza che CrowdStrike sappia se queste operazioni siano state lanciate.
