Według CrowdStrike, grupa szpiegowska VAPOR PANDA, którą firma przypisuje Chinom, od 17 października kierowała ARTEX, otwartoźródłowym frameworkiem koordynującym agentów intrusji, przeciwko ponad 200 organizacjom w co najmniej 14 krajach. Dziewięć z nich padło ofiarą potwierdzonego włamania. To druga grupa powiązana z Chinami, która używa tego narzędzia, po Storm-0940.
- Grupa VAPOR PANDA, powiązana z Chinami, atakuje ponad 200 organizacji w co najmniej 14 krajach.
- Narzędzie ARTEX koordynuje agentów AI, którzy prowadzą kilka intruzji równolegle.
- Atakujący wykorzystują głównie znane luki, takie jak niepodpisana asercja SAML i stare klucze uwierzytelniające.
- CrowdStrike zaleca wymianę kluczy, walidację SAML i szukanie śladów ARTEX w liniach poleceń.
CrowdStrike opublikowało 29 października transkrypcje tych operacji, pochodzące z serwera dowodzenia powiązanego z VAPOR PANDA. Serwer ten okresowo eksponował swoje narzędzia, pliki celów i komunikację swoich agentów. Znajduje się tam między innymi instrukcja, po chińsku i z sygnaturą czasową godziny pekińskiej, poprzedzona etykietą „instrukcja ludzka »: „Znajdź w domenie maszyny Windows bez Falcona, na podstawie listy procesów i folderów. » Falcon to oprogramowanie bezpieczeństwa CrowdStrike. Instrukcja jest skierowana do agentów AI wdrożonych w sieci globalnej firmy farmaceutycznej, które miały zlokalizować stacje robocze niechronione przez to oprogramowanie, aby tam skoncentrować dalszą fazę intrusji. Została przetłumaczona przez ActuIA na podstawie angielskiej wersji opublikowanej przez CrowdStrike.
21 października Microsoft przypisał już Storm-0940, innej grupie lojalnej wobec Pekinu, kampanię prowadzoną z użyciem tego samego narzędzia przeciwko klientom ConnectWise. CrowdStrike precyzuje, że obie operacje są odrębne i widzi w tym znak, że narzędzie prawdopodobnie zyskuje na popularności wśród grup powiązanych z Chinami. Na razie jest to jedyne źródło dokumentujące tę kampanię, a wydawca sam sprzedaje oprogramowanie, którego atakujący starali się unikać.
Europejskie ministerstwa na liście
Najbardziej wyraźna zmiana dotyczy celów. Od 2021 roku VAPOR PANDA atakowała głównie administracje, think tanki i sektor energetyczny. Jedna z operacji powierzonych agentom była skierowana przeciwko jednemu, nieujawnionemu krajowi europejskiemu: jego ministerstwu spraw zagranicznych, prezydenturze, służbom premiera oraz administracjom obrony, sprawiedliwości, finansów i wywiadu. Inna atakowała 19 amerykańskich organizacji z branży farmaceutycznej, półprzewodników, obronności, energetyki jądrowej i finansów. Operatorzy telekomunikacyjni zostali skompromitowani w Stanach Zjednoczonych, Belgii i na Filipinach.
Liczba 200 oznacza organizacje będące celem, a nie ofiary. CrowdStrike potwierdza aktywność po intrusji w dziewięciu z nich, gdzie grupa zainstalowała znaną od 2023 roku backdoor, BLOODALCHEMY, przed rozpoczęciem działań rekonesansowych i ataków na hasła. Co najmniej dwanaście innych padło ofiarą prób przejęcia ich poświadczeń, w tym europejskie administracje.
Jeden operator, kilka intrusji jednocześnie
ARTEX organizuje głównego agenta, agentów planistów i agentów wykonawczych, którzy dzielą wspólną bazę faktów, odkryć i celów. Człowiek interweniuje tylko na rozdrożach. Do tej pory CrowdStrike obserwowało agentów AI wspierających jedną intrusję na raz. VAPOR PANDA prowadziła kilka równolegle, każdy agent zmieniał ścieżkę, gdy jedna zawiodła, niezależnie od tego, czy chodziło o aplikacje webowe, usługi chmurowe, kontenery, katalog Active Directory, pocztę elektroniczną czy VPN.
Grupa uruchamiała ARTEX głównie z DeepSeek, uzupełnionym przez drugi komercyjny model dostępny przez subskrypcję, którego CrowdStrike nie zdołało zidentyfikować. W jednej tylko intrusji agenci planiści zużyli około 1,4 miliarda tokenów wejściowych, przy czym tokeny to jednostki tekstu przetwarzane przez model. Według CrowdStrike ten wybór jest celowy: ma na celu stworzenie łańcucha narzędzi niezależnego od żadnego dostawcy modeli, z wykorzystaniem komponentów open source i subskrypcji komercyjnych. Raport opisuje silniki tego systemu jako będące w powszechnej sprzedaży.
Starsze luki, wykorzystywane szybciej
Agenci wykorzystywali głównie już znane luki. W amerykańskim laboratorium farmaceutycznym połączyli na przykład niepodpisaną asercję SAML, protokół uwierzytelniania, i lukę XML, aż do uzyskania konta administratora firmy. Przeciwko greckiej administracji operator dostarczył im eksport katalogu z 2022 roku, którego klucze uwierzytelniające prawdopodobnie nie zostały od tamtej pory zmienione. Klucz klienta VPN pochodzący, według operatora, z wycieku e-maili z maja 2024 roku również pozwolił im dotrzeć do sieci wewnętrznej.
CrowdStrike zaleca zmianę kluczy po każdym ujawnieniu danych, w tym tych przechowywanych w kopiach zapasowych lub eksportach katalogów, walidację podpisów SAML i wymuszenie IMDSv2 na AWS. Zachęca również do szukania śladów ARTEX, takich jak ciągi „artx » lub „artex » w linii poleceń, oraz do aktualizacji urządzeń wystawionych na internet, szczególnie starych serwerów Linux. Raport CrowdStrike uważa za bardzo prawdopodobne, że grupy powiązane z Chinami będą nadal przyjmować tego typu narzędzia w ciągu najbliższych dwunastu miesięcy. Serwer ujawnił również przygotowane pliki celów dla ministerstw spraw zagranicznych w Ameryce Środkowej i Azji, choć CrowdStrike nie wie, czy te operacje zostały rozpoczęte.
