CrowdStrikeによると、中国に関連付けられるスパイグループ「VAPOR PANDA」は、10月17日以降、侵入エージェントを調整するオープンソースフレームワーク「ARTEX」を使用し、少なくとも14か国の200以上の組織を標的としました。うち9組織で侵入が確認されています。これは、Storm-0940に続き、このツールを使用する2つ目の中国関連グループです。
CrowdStrikeは10月29日、VAPOR PANDAに関連するコマンドサーバーから得られたこれらの作戦の記録を公開しました。このサーバーは断続的に、ツール、標的ファイル、エージェント間の通信を露出していました。特に、北京時間でタイムスタンプが付けられ、「人間の指示」というラベルが付いた中国語の指示が見つかっています：「プロセスリストとフォルダに基づき、ドメイン内でFalconがインストールされていないWindowsマシンを探せ。」FalconはCrowdStrikeのセキュリティソフトウェアです。この指示は、世界的な製薬企業のネットワークに展開されたAIエージェントに向けられたもので、このソフトウェアで保護されていない端末を特定し、その後の侵入活動を集中させることを目的としていました。ActuIAはCrowdStrikeが公開した英語版から翻訳しました。
10月21日、Microsoftは既に、別の北京系列グループであるStorm-0940が、同じツールを使用してConnectWiseの顧客を標的としたキャンペーンを行ったと断定していました。CrowdStrikeは、これら二つの作戦は別個のものであり、このツールが中国関連グループ間でおそらく人気を集めつつある兆候と見ています。現時点では、このキャンペーンを記録している唯一の情報源であり、同社は攻撃者が回避しようとしていたソフトウェア自体を販売しています。
リストに含まれる欧州の省庁
最も明確な変化は標的です。2021年以降、VAPOR PANDAは主に行政機関、シンクタンク、エネルギー部門を標的としていました。エージェントに委ねられた作戦の一つは、名前を伏せられたある欧州一国を標的とし、その外務省、大統領府、首相官邸、そして防衛、司法、財務、情報機関の各行政機関が対象でした。別の作戦では、製薬、半導体、防衛、原子力、金融分野の19の米国組織が標的となりました。米国、ベルギー、フィリピンでは通信事業者が侵害されました。
200という数字は標的組織を示し、被害者数を示すものではありません。CrowdStrikeは、そのうち9組織で侵入後の活動を確認しており、同グループは2023年から知られるバックドア「BLOODALCHEMY」をインストールした後、偵察活動とパスワード攻撃を開始しました。少なくともさらに12の組織（欧州の行政機関を含む）では、認証情報に対する試行が行われました。
1オペレーターによる複数の同時侵入
ARTEXは、主エージェント、計画エージェント、実行エージェントを組織化し、それらが事実、発見、目標の共通基盤を共有します。人間は分岐点でのみ介入します。これまでCrowdStrikeは、AIエージェントが一度に一つの侵入を支援するのを観察していました。VAPOR PANDAは複数の侵入を並行して行い、各エージェントは、ウェブアプリケーション、クラウドサービス、コンテナ、Active Directory、メール、VPNなどにおいて、ある経路が失敗すると別の経路に切り替えました。
同グループはARTEXを主にDeepSeekで動作させ、CrowdStrikeが特定できなかったサブスクリプション型の商用第二モデルで補完しました。ただ一つの侵入において、計画エージェントは入力トークンとして約14億トークンを消費しました。トークンはモデルが処理するテキストの単位です。CrowdStrikeによれば、この選択は意図的であり、オープンソースコンポーネントと商用サブスクリプションからなる、モデルプロバイダーに依存しないツールチェーンを目指すものです。レポートはこの仕組みのエンジンが市販されていると述べています。
古い脆弱性、より迅速に悪用
エージェントは主に既知の脆弱性を悪用しました。ある米国の製薬研究所では、署名なしSAMLアサーション（認証プロトコル）とXMLの脆弱性を連鎖させ、最終的に企業の管理者アカウントを取得しました。ギリシャの行政機関に対しては、オペレーターが2022年のディレクトリエクスポートを提供し、その認証キーはおそらくそれ以来変更されていませんでした。また、オペレーターによれば、2024年5月のメール漏洩から得られたVPNクライアントキーによって、内部ネットワークに到達することもできました。
CrowdStrikeは、バックアップやディレクトリエクスポートに保存されたものも含め、データが露出した後は常にキーを変更すること、SAML署名を検証すること、AWSでIMDSv2を強制すること、を推奨しています。また、コマンドラインの「artx」や「artex」といった文字列など、ARTEXの痕跡を探し、インターネットにさらされている機器、特に古いLinuxサーバーを更新するよう呼びかけています。CrowdStrikeのレポートは、中国関連グループが今後12か月以内にこの種のツールの採用を続ける可能性が非常に高いと判断しています。サーバーからは、中米およびアジアの外務省向けに準備された標的ファイルも確認されましたが、CrowdStrikeはこれらの作戦が開始されたかどうかは把握していません。
