A VAPOR PANDA több mint 200 szervezet ellen vetett be AI-ügynököt
A CrowdStrike szerint a VAPOR PANDA nevű, Kínához köthető kiberkémcsoport az ARTEX AI-ügynöki keretrendszert használta több mint 200 szervezet elleni, párhuzamos behatolásokhoz. A kampányban a DeepSeek és egy második, kereskedelmi nagy nyelvi modell is szerepet kapott.
- A VAPOR PANDA több mint 200 szervezetet célzott legalább 14 országban.
- A támadásokban az ARTEX, a DeepSeek és egy második kereskedelmi LLM is szerepet kapott.
- A CrowdStrike kilenc szervezetnél erősített meg behatolás utáni tevékenységet.
- A támadók BLOODALCHEMY hátsó kaput és saját parancs- és vezérlési infrastruktúrát használtak.
- Az ARTEX-munkafolyamat a Falcon érzékelője nélküli gépek azonosítására is utasítást tartalmazott.
Legalább 14 ország szervezeteit célozták
A CrowdStrike OverWatch október 17-én azonosította a kampány kezdetét. A vállalat szerint egyetlen, a VAPOR PANDA infrastruktúrájához kötött ARTEX-vezérlő 11 napon át irányított behatolási kísérleteket legalább 14 ország szervezetei ellen.
A célpontok között latin-amerikai, európai, ázsiai és közel-keleti külügyminisztériumok, az Egyesült Államokban működő félvezetőipari, védelmi és agytröszt szervezetek, valamint több régió távközlési szolgáltatói szerepeltek. A CrowdStrike összesen több mint 200 különálló szervezet elleni tevékenységet kapcsolt a kampányhoz.
A támadók két latin-amerikai ország külügyminisztériumánál kiterjedt behatolásokat hajtottak végre, egy harmadik esetében pedig valószínűsíthető a kompromittálás. Közép-amerikai és ázsiai külügyminisztériumok ellen célfájlokat is előkészítettek. Egy közel-keleti belügyminisztériumot szintén feltörtek.
A támadásokban több AI-eszköz dolgozott együtt
Az ARTEX a CrowdStrike leírása szerint olyan keretrendszer, amely több párhuzamos behatolási feladatot, az úgynevezett taskokat képes kezelni. A VAPOR PANDA egyetlen vezérlőből indított különböző műveleteket, miközben a folyamatot emberi operátor irányította.
A kampány során az ARTEX mellett a kínai fejlesztésű DeepSeek nagy nyelvi modellt és egy második, kereskedelmi nagy nyelvi modellt is használtak. A CrowdStrike szerint ez a Kínához köthető szereplők AI-ügynök-használatának eszkalációját mutatja: a korábbi egyedi behatolások után több, egy időben zajló műveletet irányítottak.
A Falcon telemetriája a BLOODALCHEMY hátsó kapu telepítését és az ehhez használt parancs- és vezérlési infrastruktúrát is feltárta. A CrowdStrike szerint a kampányban a támadók utólagos hitelesítőadat-próbálkozásokat és hálózati felderítést is végeztek kilenc olyan szervezetnél, ahol a vállalat megerősítette a behatolás utáni tevékenységet.
A munkafolyamat része volt az érzékelők elkerülése
A CrowdStrike egyik kiemelt megállapítása, hogy az ellenfelek közvetlenül az AI-ügynöki munkafolyamatba építették be a végponti érzékelők kijátszását. Az ARTEX számára olyan utasításokat adtak, amelyek alapján az ügynöknek azonosítania kellett a CrowdStrike Falcon érzékelője nélküli gépeket.
A vezérlő időnként kiszivárogtatta a támadói eszközöket, a célpontok fájljait és az ARTEX ügynökeinek munkamenet-átiratait. A vállalat szerint ezek a nyomok arra utalnak, hogy a rendszer több célpont ellen futó, párhuzamos műveleteket kezelt.
A CrowdStrike külön hangsúlyozta, hogy az itt bemutatott VAPOR PANDA-kampány nem azonos azzal az ARTEX-tevékenységgel, amelyet más iparági források Storm-0940 néven ismertettek. A vállalat korábban pénzügyi motivációjú és azonosítatlan szereplőknél is dokumentált ARTEX-hez hasonló agentikus keretrendszereket.
Több kiemelt ágazat is érintett
Egy külön művelet 19 egyesült államokbeli szervezetet célzott a gyógyszeriparban, a félvezetőgyártásban, a védelemben, a nukleáris szektorban és a pénzügyi területen. Egy európai ország ellen indított akcióban az ország külügyminisztériuma, elnöki hivatala és miniszterelnöki hivatala mellett védelmi, igazságügyi, pénzügyi és hírszerzési szervezetek is célponttá váltak.
A CrowdStrike szerint a kampány az AI-ügynökök kiberbiztonsági használatának új mintáját mutatja: egy emberi irányító több, magas értékű célpont elleni műveletet koordinált egyetlen ARTEX-vezérlő segítségével. A jelentés alapján ezért a védelemben a célpontok és az AI-ügynökök tevékenységének párhuzamos követése is fontossá vált.
CrowdStrike: VAPOR PANDA Uses AI-Driven ARTEX to Scale a Global Espionage Campaign
