По данным CrowdStrike, группа кибершпионажа VAPOR PANDA, которую она связывает с Китаем, с 17 октября использовала ARTEX — открытый фреймворк для координации агентов вторжения — против более чем 200 организаций как минимум в 14 странах. У девяти из них подтверждено успешное проникновение. Это вторая группа, связанная с Китаем, использующая этот инструмент, после Storm-0940.
CrowdStrike опубликовала 29 октября расшифровки этих операций, полученные с командного сервера, связанного с VAPOR PANDA. Этот сервер периодически раскрывал свои инструменты, файлы с целями и переписку своих агентов. В частности, там была найдена инструкция на китайском языке с отметкой времени по пекинскому времени, предваряемая меткой «человеческая инструкция»: «Найди в домене машины Windows без Falcon, согласно списку процессов и папок». Falcon — это программное обеспечение безопасности CrowdStrike. Инструкция адресована агентам ИИ, развернутым в сети глобальной фармацевтической компании, которые должны были выявить рабочие станции, не защищенные этим ПО, чтобы сконцентрировать на них дальнейшие действия по вторжению. Она была переведена ActuIA с английской версии, опубликованной CrowdStrike.
21 октября Microsoft уже приписала группе Storm-0940, также связанной с Пекином, кампанию, проведенную с тем же инструментом против клиентов ConnectWise. CrowdStrike уточняет, что эти две операции различны, и видит в этом признак того, что инструмент, вероятно, набирает популярность среди групп, связанных с Китаем. На данный момент это единственный источник, документирующий данную кампанию, и сам издатель продает программное обеспечение, которого атакующие пытались избежать.
Европейские министерства в списке
Наиболее заметное изменение касается целей. С 2021 года VAPOR PANDA в основном нацеливалась на государственные учреждения, аналитические центры и энергетический сектор. Одна из операций, порученных агентам, была направлена против одной европейской страны (не названа): ее министерства иностранных дел, президентской администрации, служб премьер-министра, а также ведомств обороны, юстиции, финансов и разведки. Другая операция была направлена против 19 американских организаций в сфере фармацевтики, полупроводников, обороны, ядерной энергетики и финансов. Телеком-операторы были скомпрометированы в США, Бельгии и на Филиппинах.
Цифра в 200 обозначает целевые организации, а не жертв. CrowdStrike подтверждает активность после вторжения в девяти из них, где группа установила бэкдор BLOODALCHEMY, известный с 2023 года, а затем провела разведывательные действия и атаки на пароли. Как минимум двенадцать других организаций, включая европейские ведомства, подверглись попыткам компрометации учетных данных.
Один оператор, несколько вторжений одновременно
ARTEX организует главного агента, агентов-планировщиков и агентов-исполнителей, которые разделяют общую базу фактов, обнаружений и целей. Человек вмешивается только на развилках. До сих пор CrowdStrike наблюдала, как агенты ИИ помогают в одном вторжении за раз. VAPOR PANDA проводила несколько операций параллельно, каждый агент менял направление атаки, если один путь не срабатывал, будь то веб-приложения, облачные сервисы, контейнеры, служба каталогов Active Directory, почта или VPN.
Группа в основном запускала ARTEX с помощью DeepSeek, дополненного второй коммерческой моделью, доступной по подписке, которую CrowdStrike не смогла идентифицировать. В ходе одного вторжения агенты-планировщики потребили порядка 1,4 миллиарда входных токенов (токены — это единицы текста, обрабатываемые моделью). По мнению CrowdStrike, этот выбор является преднамеренным: он направлен на создание цепочки инструментов, не зависящей от какого-либо конкретного поставщика моделей, на основе компонентов с открытым исходным кодом и коммерческих подписок. В отчете движки этой системы описаны как находящиеся в свободной продаже.
Старые уязвимости, эксплуатируемые быстрее
Агенты в основном эксплуатировали уже известные уязвимости. В одной американской фармацевтической лаборатории они, в частности, последовательно использовали неподписанное утверждение SAML (протокол аутентификации) и уязвимость XML, чтобы в конечном итоге получить учетную запись администратора компании. Против греческого ведомства оператор предоставил им экспорт каталога за 2022 год, ключи аутентификации из которого, по всей видимости, не менялись с тех пор. Ключ VPN-клиента, полученный, по словам оператора, из утечки электронных писем в мае 2024 года, также позволил им получить доступ к внутренней сети.
CrowdStrike рекомендует менять ключи после любого раскрытия данных, включая те, что хранятся в резервных копиях или экспортах каталогов, проверять подписи SAML и внедрять IMDSv2 в AWS. Компания также призывает искать следы ARTEХ, такие как строки «artx» или «artex» в командной строке, и обновлять оборудование, доступное из интернета, особенно старые серверы Linux. Отчет CrowdStrike считает весьма вероятным, что группы, связанные с Китаем, продолжат внедрять подобные инструменты в течение следующих двенадцати месяцев. Сервер также позволил увидеть подготовленные файлы целей для министерств иностранных дел в Центральной Америке и Азии, хотя CrowdStrike не знает, были ли эти операции запущены.
